DE60215978T2 - Method and device for access control of a mobile terminal in a communication network - Google Patents

Method and device for access control of a mobile terminal in a communication network Download PDF

Info

Publication number
DE60215978T2
DE60215978T2 DE60215978T DE60215978T DE60215978T2 DE 60215978 T2 DE60215978 T2 DE 60215978T2 DE 60215978 T DE60215978 T DE 60215978T DE 60215978 T DE60215978 T DE 60215978T DE 60215978 T2 DE60215978 T2 DE 60215978T2
Authority
DE
Germany
Prior art keywords
authentication
wireless terminal
access point
access control
terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
DE60215978T
Other languages
German (de)
Other versions
DE60215978D1 (en
Inventor
Henry Haverinen
Anton Bush
Mike P. Smith
Jyri Rinnemaa
Timo TAKAMÄKI
Jukka Tuomi
Hannu Tuominen
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Oyj
Original Assignee
Nokia Oyj
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Oyj filed Critical Nokia Oyj
Priority claimed from EP04018185A external-priority patent/EP1523129B1/en
Application granted granted Critical
Publication of DE60215978D1 publication Critical patent/DE60215978D1/en
Publication of DE60215978T2 publication Critical patent/DE60215978T2/en
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zur Zugangssteuerung eines drahtlosen Endgeräts zu einem Kommunikationsnetz, und insbesondere, obgleich nicht notwendigerweise, zum Senden von Datenpaketen eines drahtlosen Endgeräts mit gesteuertem Zugang zu einem drahtlosen lokalen Netz.The The present invention relates to a method and an apparatus for access control of a wireless terminal to a communication network, and in particular, though not necessarily, for sending Data packets of a wireless terminal with controlled access to a wireless local area network.

Stand der TechnikState of technology

Ein drahtloses lokales Netz umfasst typischerweise ein Netz, das Endgeräte umfasst, wie etwa drahtlose Endgeräte oder tragbare Computer oder Zugangspunkte, wobei die Datenübertragung zwischen den Endgeräten und den Zugangspunkten teilweise oder insgesamt drahtlos unter Benutzung von Funkwellen oder Infrarottechnologie ausgeführt ist.One A wireless local area network typically includes a network that includes terminals, like wireless devices or portable computers or access points, wherein the data transfer between the terminals and the access points partly or totally wirelessly using Radio waves or infrared technology is executed.

Die Struktur von Telekommunikationsnetzen ist im Allgemeinen unter Benutzung des OSI-Modells (Open System Interconnection) erklärt, das die Schnittstellen definiert, über die die verschiedenen Geräte und die zugehörige Software miteinander kommunizieren. Das OSI-Modell ist auf ein Schichtenkonzept gegründet, wobei die unterste oder erste Schicht als Bitübertragungsschicht bekannt ist, die alle logischen, elektrischen und mechanischen Themen umspannt, welche Datenübertragung betreffen. Die zweite Protokollschicht, d.h. die Sicherungsschicht, ist für Verbindungsaufbau, Fehlerberichtigung und Verbindungsabbau zuständig. Die dritte Protokollschicht, d.h. die Vermittlungsschicht, sieht nicht von der Netzstruktur abhängige Datenübertragung vor. Die folgenden Schichten sind die Transportschicht (vierte Schicht), Sitzungsschicht (fünfte Schicht), Darstellungsschicht (sechste Schicht) und Anwendungsschicht (siebte Schicht).The Structure of telecommunication networks is generally in use of the OSI model (Open System Interconnection) explains that defines the interfaces, via the different devices and the associated Software communicate with each other. The OSI model is based on a shift concept founded, the lowest or first layer being known as a physical layer is that spans all logical, electrical and mechanical issues, which data transmission affect. The second protocol layer, i. the link layer, is for Connection setup, error correction and disconnection responsible. The third protocol layer, i. the network layer, does not look dependent on the network structure data transfer in front. The following layers are the transport layer (fourth layer), Session layer (fifth layer), Presentation layer (sixth layer) and application layer (seventh layer) Layer).

Im OWLAN-System (Operator Wireless Local Area Network) finden Authentifizierung und Zugangssteuerung derzeit auf der dritten Schicht des OSI-Modells statt, d.h. der Vermittlungsschicht oder IP-Schicht, und WLAN-Zuordnung zwischen dem Endgerät und dem Zugangspunkt wird ohne Authentifizierung ausgeführt. Ein Zugangspunkt ist ein physikalisches Gerät, wie etwa eine Basisstation, das ein drahtloses Netz und ein verdrahtetes Netz miteinander verbindet. Bei der Open System Authentication beinhaltet das Zuordnungsereignis keine tatsächliche Authentifizierung, jedoch ist die Open System Authentication, die vor der Zuordnung ausgeführt wurde, nicht vorhandene Authentifizierung. Nach der Zuordnung wird das Endgerät typischerweise nach dem Zuordnungsereignis mithilfe eines IP-basierten DHCP-Verfahrens (Dynamic Host Configuration Protocol) mit einer IP-Adresse versehen. Die Authentifizierung wird dann durch Ausführen eines IP-basierten Authentifizierungsprotokolls durchgeführt. Obgleich das Authentifizierungsprotokoll außerdem Protokollschichten über der IP-Schicht einsetzt, wird die Authentifizierung in diesem Fall als Authentifizierung der dritten Protokollschicht bezeichnet, weil Zugangssteuerung typischerweise auf der dritten Protokollschicht implementiert ist. Die Operator Wireless LAN-Lösung beinhaltet das Network Access Authentication Protocol (NAAP), das ein Protokoll der dritten Protokollschicht zum Authentifizieren des drahtlosen Endgeräts unter Benutzung des GSM Subscriber Identity Module ist. Ein weiteres Beispiel für ein Authentifizierungsprotokoll der dritten Protokollschicht sind Lösungen auf Grundlage des Hypertext Transfer Protocol (http), bei denen die Authentifizierung unter Benutzung einer Seite des World Wide Web (WWW) benutzt wird, auf der der Benutzer die Berechtigungsnachweise eingibt. Wieder ein anderes Beispiel für ein Authentifizierungsprotokoll der dritten Protokollschicht ist das Schlüsselaustausch-Internetprotokoll (IKE; Internet Key Exchange), das beim Aufbauen einer Verbindung mit einem virtuellen, privaten Netz benutzt wird. Bei allen diesen Beispielen muss das drahtlose Endgerät, das Authentifizierungsprotokoll der dritten Protokollschicht ausführen, bevor es Zugang zu den Ressourcen erhalten kann, für die die Zugangssteuerung durchgesetzt ist.in the OWLAN system (Operator Wireless Local Area Network) find authentication and access control currently on the third layer of the OSI model instead of, i. the network layer or IP layer, and WLAN mapping between the terminal and the access point is running without authentication. One Access point is a physical device, such as a base station, which connects a wireless network and a wired network. In Open System Authentication, the allocation event includes no actual Authentication, however, is the Open System Authentication, the was executed before the assignment, nonexistent authentication. After the assignment is the terminal typically after the assignment event using an IP-based DHCP (Dynamic Host Configuration Protocol) with an IP address. The Authentication is then performed by running an IP-based authentication protocol carried out. Although the authentication protocol also uses protocol layers over the IP layer is used, authentication in this case as Authentication of the third protocol layer called because Access control typically on the third protocol layer is implemented. The operator wireless LAN solution includes the network Access Authentication Protocol (NAAP), which is a protocol of the third protocol layer for authenticating the wireless terminal using the GSM Subscriber Identity Module is. Another example of an authentication protocol The third protocol layer is solutions based on hypertext Transfer Protocol (http), where authentication is using a page of the World Wide Web (WWW) is used on which the user enter the credentials. Another example for a The third protocol layer authentication protocol is the Key Exchange Internet Protocol (IKE; Internet Key Exchange) when connecting to a virtual, private network is used. In all these examples the wireless device, run the third protocol layer authentication protocol before it can get access to the resources for which access control is enforced.

Die Standardisierung bietet einen Rahmenwerk für Hardware- und Softwarehersteller, damit ermöglicht ist, Produkte verschiedener Hersteller nebeneinander zu benutzen. Der Titel des WLAN-Standards lautet IEEE 802.11 und wurde nach und nach um eine Anzahl untergeordneter Standards ergänzt. Gemäß dem kommenden IEEE 802.11i-Standard wird die WLAN-Authentifizierung gemäß eines Authentifizierungsverfahrens der zweiten Protokollschicht, wie etwa eines IEEE 802.1x-Protokolls, vor der Übertragung von IP-Paketen zwischen dem Endgerät und dem Netz ausgeführt.The Standardization provides a framework for hardware and software manufacturers made possible with it is to use products from different manufacturers side by side. The title of the WLAN standard is IEEE 802.11 and has been changed to and supplemented by a number of subordinate standards. According to the coming IEEE 802.11i standard the WLAN authentication according to a Authentication method of the second protocol layer, such as an IEEE 802.1x protocol, before transferring IP packets between the terminal and the network.

Der erste Router im OWLAN-System, d. h. der Edge-Router, der sich zwischen dem Kommunikationsnetz und dem drahtlosen Endgerät befindet, welches mit dem drahtlosen lokale Netz verbunden ist, dient im OWLAN als die andere Seite bei der Authentifizierung, die gemäß der dritten Protokollschicht, d.h. Open System Authentication, ausgeführt wird, und unterhält eine Zugangssteuerungsliste (ACL) von authentifizierten Endgeräten. Das IEEE standardisiert gerade ein neues WLAN- Authentifizierungssystem, bei dem Authentifizierung gegen den Zugangspunkt ausgeführt wird. Wenn das Zugangsnetz nur das neue WLAN- Authentifizierungssystem abwickelt, dann kann das derzeitige OWLAN-System, wie etwa Nokia Operator Wireless LAN Release 1.0 nicht benutzt werden, weil es dem Client nicht gestattet ist, das Authentifizierungsprotokoll der dritten Protokollschicht auszuführen, ohne zunächst gemäß IEEE 802.1x zu authentifizieren. Da sich einige Benutzer neue Endgeräte anschaffen werden, während andere alte Endgeräte besitzen, wird es „alte" Endgeräte geben, die unter Benutzung des Authentifizierungsverfahrens der dritten Protokollschicht auf das Netz zugreifen können, und ferner „neue" Endgeräte, die unter Benutzung des Authentifizierungsverfahrens gemäß IEEE 802.1x-Standard auf das Netz zugreifen können. Außerdem wird es Netze geben, die Zugangspunkte umfassen, welche nur gemäß IEEE 802.1x-Standard arbeiten, und andere Zugangspunkte, die nur als Teil eines OWLAN-Systems arbeiten. Ein Problem, das bei der Standardisierung derzeitiger Systeme angegangen wird, ist die Inkompatibilität des gegenwärtigen offenen Systems und der künftigen Authentifizierungsverfahren der zweiten Protokollschicht, d.h. die derzeitigen Endgeräte können nicht auf Netze gemäß dem IEEE 802.1x-Standard zugreifen, und die künftigen Endgeräte gemäß dem IEEE 802.1x-Standard können nicht auf die gegenwärtigen Open-System-Netze zugreifen.The first router in the OWLAN system, ie the edge router located between the communication network and the wireless terminal connected to the wireless local area network, serves as the other side of authentication in the OWLAN according to the third protocol layer , ie Open System Authentication, runs and maintains an access control list (ACL) of authenticated terminals. The IEEE is currently standardizing a new WLAN authentication system that performs authentication against the access point. If the access network handles only the new WLAN authentication system, then the current OWLAN system, such as Nokia Operator Wireless LAN Release 1.0, can not be used because the client is not allowed to execute the third protocol layer authentication protocol without first following IEEE To authenticate 802.1x. Since some Be Users will acquire new terminals while others have old terminals, there will be "old" terminals that can access the network using the third protocol layer authentication method, and "new" terminals using the IEEE 802.1x authentication method Standard access to the network. In addition, there will be networks that include access points that only operate in accordance with the IEEE 802.1x standard, and other access points that only work as part of an OWLAN system. A problem addressed in the standardization of current systems is the incompatibility of the current open system and the future authentication methods of the second protocol layer, ie the current terminals can not access networks according to the IEEE 802.1x standard, and the future terminals according to the IEEE 802.1x standard can not access the current open system networks.

Die Veröffentlichung WO 01/41470 stellt ein Verfahren und eine Vorrichtung zum Ermöglichen vor, dass eine Mobilstation in einem drahtlosen Netz Netzauthentifizierung in Zusammenhang mit mobilen Paketdatendiensten ausführt. Bei dieser Lösung wird stets ein CHAP (Challenge Handshake Authentication Protocol) vor einer möglichen Benutzung von Authentifizierungsprotokollen gemäß Mobile-IP benutzt. Mit anderen Worten besteht das Erfordernis, dass jedes mobile Endgerät, das von dem drahtlosen Netz authentifiziert werden kann, CHAP unterstützen muss.The publication WO 01/41470 presents a method and an apparatus for enabling that a mobile station in a wireless network is network authentication in connection with mobile packet data services. at this solution is always a CHAP (Challenge Handshake Authentication Protocol) before a possible Use of authentication protocols according to Mobile-IP. With others In other words, there is a requirement that every mobile terminal used by can be authenticated to the wireless network, must support CHAP.

Kurzdarstellung der ErfindungSummary the invention

Es wurde nun ein Verfahren und eine Vorrichtung erfunden, um zu ermöglichen, dass ein drahtloses Endgerät entweder durch Benutzung einer Authentifizierung der dritten Protokollschicht, wie etwa Open System Authentication, oder Authentifizierung der zweiten Protokollschicht, wie etwa gemäß dem IEEE 802.1x-Protokoll, auf ein Netz zugreift. Ein Zugangspunkt der Erfindung ermöglicht sowohl Open System Authentication, bei der das Endgerät in einer späteren Phase gemäß der dritten Protokollschicht authentifiziert wird, als auch Authentifizierung der zweiten Protokollschicht, wie etwa IEEE 802.1x-Authentifizierung. Unter Benutzung der Erfindung können bestimmte Netzelemente des WLAN sowohl die neue IEEE 802.1x-Authentifizierung der zweiten Schicht als auch die derzeitige Authentifizierung der dritten Schicht abwärtskompatibel unterstützen.It Now, a method and apparatus has been invented to enable that a wireless terminal either by using authentication of the third protocol layer, such as Open System Authentication, or authentication of the second protocol layer, such as in accordance with the IEEE 802.1x protocol on Network accesses. An access point of the invention allows both Open System Authentication, where the terminal is at a later stage according to the third protocol layer authenticated, as well as authentication of the second protocol layer, such as IEEE 802.1x authentication. Using the invention can certain network elements of the WLAN both the new IEEE 802.1x authentication the second layer as well as the current authentication of the third layer backward compatible support.

Bei der derzeitigen Nokia Operator Wireless LAN-Lösung ist die Zugangssteuerung für das Unterhalten einer Zugangssteuerungsliste und zum Ausführen eines Authentifizierungsprotokolls der dritten Protokollschicht zuständig. In der vorliegenden Erfindung sind diese Funktionen in eine logische Zugangssteuerungsfunktion und eine Authentifizierungsagentenfunktion zum Ausführen eines Authentifizierungsprotokolls der dritten Protokollschicht aufgeteilt. Das Netz ist so organisiert, dass zumindest ein Teil der Pakete von Endgeräten das Netzelement durchlaufen, das die logische Zugangssteuerungsfunktion enthält. Die Authentifizierungsagentenfunktion bezieht sich auf die Authentifizierungsprotokollimplementierung der dritten Schicht, wie die NAAP-Protokoll-, die HTTP- (Hypertext Transfer Protocol) Authentifizierungsprotokoll- oder Schlüsselaustausch- (IKE-) Protokollimplementierung. Die Zugangssteuerungsfunktion und die Authentifizierungsagentenfunktion sind nicht notwendigerweise im selben physikalischen Netzelement implementiert, aber es ist möglich, die Zugangssteuerungsfunktion stattdessen im Zugangspunktgerät oder einem anderen Gerät zu implementieren.at the current Nokia Operator Wireless LAN solution is the access control for maintaining an access control list and performing a Authentication protocol of the third protocol layer responsible. In In the present invention, these functions are logical Access control function and an authentication agent function to run an authentication protocol of the third protocol layer divided up. The network is organized so that at least a part the packets of terminals go through the network element, which is the logical access control function contains. The authentication agent function refers to the authentication protocol implementation the third layer, like the NAAP protocol, the HTTP (Hypertext Transfer Protocol) Authentication Protocol or Key Exchange (IKE) Protocol implementation. The access control function and the Authentication agent function are not necessarily in the same physical network element implemented, but it is possible to use the Access control function instead in the access point device or a other device to implement.

Wenn die Authentifizierung der dritten Protokollschicht benutzt ist, dann arbeitet der Authentifizierungsagent als die Authentikatoreinheit, die das Authentifizierungsprotokoll der dritten Protokollschicht ausführt, wie bei der derzeitigen Nokia Operator Wireless LAN-Lösung. Eine erfolgreiche Authentifizierung hat zum Ergebnis, dass das Endgerät der Zugangssteuerungsliste hinzugefügt wird. Wenn die Zugangssteuerungsfunktion in einem Gerät angeordnet ist, das vom Authentifizierungsagenten getrennt ist, dann sendet der Authentifizierungsagent die Information des Endgeräts an das Netzelement, das die Zugangssteuerungsfunktion enthält. Ein Authentikator ist eine Einheit, die die Netzzugangsauthentifizierung des Endgeräts durch Arbeiten als Partnereinheit in dem Authentifizierungsprotokoll erleichtert, das zwischen dem Endgerät und dem Authentikator benutzt ist. Ein Authentifizierungsserver ist eine Einheit, die einem Authentikator einen Authentifizierungsdienst leistet. Dieser Dienst bestimmt aus den vom Bewerber, d.h. dem Endgerät, bereitgestellten Berechtigungsnachweisen, ob der Bewerber zum Zugriff auf die Dienste berechtigt ist, die vom Authentikator vorgesehen sind. Wenn Authentifizierung der zweiten Protokollschicht ausgeführt wird, dann arbeitet der Zugangspunkt zunächst wie in den IEEE-Standards spezifiziert und als Athentikatoreinheit. Zudem aktualisiert der Zugangspunkt nach erfolgreicher Authentifizierung die Zugangssteuerungsliste derart, dass die Pakete der Clients, die auf der zweiten Protokollschicht authentifiziert wurden, ebenfalls weitergeleitet werden. Wenn die Zugangssteuerungsfunktion in einem Gerät angeordnet ist, das vom Zugangspunkt getrennt ist, dann sendet der Zugangspunkt die Information des Endgeräts an das Netzelement, das die Zugangssteuerungsfunktion enthält.If the authentication of the third protocol layer is used, then the authentication agent acts as the authenticator unit, which executes the authentication protocol of the third protocol layer, such as at the current Nokia Operator Wireless LAN solution. A successful authentication has the result that the terminal of the access control list added becomes. If the access control feature is located in a device, which is disconnected from the authentication agent, then sends the Authentication agent the information of the terminal to the Network element containing the access control function. One Authenticator is a device that provides network access authentication to the device terminal by working as a partner unit in the authentication protocol facilitated between the terminal and the authenticator. An authentication server is a unit that is an authenticator provides an authentication service. This service is determined that of the applicant, i. the terminal, provided credentials, whether the applicant is entitled to access the services, the provided by the authenticator. If authentication of the second protocol layer accomplished then, the access point will first work as specified in the IEEE standards and as an athletic unit. In addition, the access point updates after successful authentication the access control list such that the packets of the clients are on the second protocol layer have been authenticated, also forwarded. If the Access control function is located in a device that is separate from the access point is, then the access point sends the information of the terminal to the Network element containing the access control function.

Die Erfindung stellt eine Lösung bereit, die es einem drahtlosen lokalen Netzsystem, wie etwa dem Nokia Operator Wireless LAN, sowohl einen Authentifizierungsstandard der zweiten Protokollschicht, d.h. Schicht 2, wie etwa einen Authentifizierungsstandard gemäß IEEE 802.1x, als auch den derzeitigen Authentifizierungsstandard auf Grundlage der dritten Protokollschicht, d.h. Schicht 3, zu unterstützen.The invention provides a solution that enables both a wireless local area network system, such as the Nokia Operator Wireless LAN the second protocol layer authentication standard, ie layer 2, such as an IEEE 802.1x authentication standard, as well as the current authentication standard based on the third protocol layer, ie layer 3.

Wenn Open System Authentication benutzt ist, arbeitet das System ähnlich wie das derzeitige Nokia Operator Wireless LAN-System, bei dem das Endgerät und der Authentifizierungsagent die bei der Authentifizierung beteiligten Seiten sind. Der Authentifizierungsagent leitet Information bezüglich der Authentifizierung zwischen dem Endgerät und dem Authentifizierungsserver weiter und ist zum Aktualisieren der Liste authentifizierter Benutzer imstande, ungeachtet dessen, welches Netzelement die Liste unterhält.If Open System Authentication is used, the system works much like the current Nokia Operator Wireless LAN system in which the terminal and the Authentication agent involved in authentication Pages are. The authentication agent forwards information regarding the Authentication between the terminal and the authentication server and is for updating the list of authenticated users regardless of which network element the list maintains.

Wenn Authentifizierung gemäß der zweiten Protokollschicht ausgeführt werden soll, wie etwa die IEEE 802.1x-Authentifizierung, arbeitet der Zugangspunkt gemäß dem IEEE 802.1x-Standard, wobei er als authentifizierende Seite dient und Information bezüglich der Authentifizierung zwischen dem Endgerät und dem Authentifizierungsserver weiterleitet. Zudem wird die Zugangssteuerungsliste nach einer erfolgreichen Authentifizierung aktualisiert, beispielsweise durch den Zugangspunkt oder den Authentifizierungsserver, um es dem Netzelement, das die Zugangssteuerungsfunktion enthält, zu ermöglichen, ebenfalls Pakete von Endgeräten weiterzuleiten, die gemäß der zweiten Protokollschicht authentifiziert sind.If Authentication according to the second protocol layer accomplished which is how the IEEE 802.1x authentication works the access point according to the IEEE 802.1x standard, where it serves as the authenticating site and Information regarding authentication between the terminal and the authentication server forwards. In addition, the access control list will after a successful Authentication updated, for example by the access point or the authentication server to make it the network element that the Contains access control function, to allow, too Packages of terminals forward according to the second Protocol layer are authenticated.

Hinsichtlich Endgeräten, die die Authentifizierung der zweiten Protokollschicht einsetzen, befindet sich bei der Implementierung gemäß der Erfindung die Schnittstelle, die zwischen dem Endgerät und dem Netz vorgesehen ist, in völliger Übereinstimmung mit dem Standard. Die Erfindung stellt auch keinerlei neue Anforderungen an Endgeräte, die die Authentifizierung der dritten Protokollschicht einsetzen.Regarding terminals that use the authentication of the second protocol layer, In the implementation according to the invention, the interface is the between the terminal and the network, in full compliance with the standard. The invention also makes no new demands to terminals, which use the authentication of the third protocol layer.

Zu den Vorteilen der Erfindung gehört die Kompatibilität mit dem derzeitigen offenen System, bei dem Authentifizierung auf der dritten Protokollschicht ausgeführt wird, und mit einem System, bei dem die Authentifizierung auf der zweiten Protokollschicht ausgeführt wird, beispielsweise gemäß dem IEEE 802.1x-Standard. Ungeachtet des Authentifizierungsverfahrens ist das Netzelement, das die Zugangssteuerungsfunktion enthält, imstande, die Buchführungs- und Abrechnungsroutinen auszuführen, die die Übertragung von Datenpaketen betreffen. Ferner sind die Geräte gemäß dem neuen Standard imstande, in einem Netz gemäß dem gegenwärtigen Open-System-Standard zu arbeiten.To belongs to the advantages of the invention the compatibility with the current open system where authentication is on the third protocol layer is executed, and with a system where authentication is performed on the second protocol layer, for example, according to the IEEE 802.1x standard. Regardless of the authentication method, the network element is which contains the access control function, is capable of and execute billing routines, the the transfer of data packets. Furthermore, the devices are able to comply with the new standard, in a network according to the current open system standard to work.

Gemäß einem ersten Aspekt der Erfindung ist ein Verfahren zur Zugangssteuerung eines drahtlosen Endgeräts in einem Kommunikationsnetz bereitgestellt, das Kommunikationsnetz umfassend einen Zugangspunkt zum Aufbauen einer Kommunikationsverbindung mit dem drahtlosen Endgerät, einen Authentifizierungsserver zum Vorsehen eines Authentifizierungsdiensts für das drahtlose Endgerät zur Authentifizierung für das Kommunikationsnetz, einen Authentifizierungsagenten zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver und eine Zugangssteuerung zum Weiterleiten von Datenpaketen von authentifizierten, drahtlosen Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten, drahtlosen Endgräten, wobei eine Zugangssteuerungsfunktion eine Zugangssteuerungsliste umfasst, die eine Liste von authentifizierten, drahtlosen Endgeräten ist, wobei das drahtlose Endgerät dazu konfiguriert ist, jegliche der folgenden Authentifizierungsverfahren zu benutzen, um sich für das Kommunikationsnetz zu authentifizieren: ein erstes Authentifizierungsverfahren, bei dem der Zugangspunkt Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver weiterleitet, ein zweites Authentifizierungsverfahren, bei dem der Authentifizierungsagent Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver weiterleitet, wobei das Verfahren dadurch gekennzeichnet ist, dass es folgende Schritte umfasst: Identifizieren am Zugangspunkt, ob das drahtlose Endgerät das erste Authentifizierungsverfahren oder das zweite Authentifizierungsverfahren benutzt, folgende Schritte ausführend, wenn sich das drahtlose Endgerät unter Benutzung des ersten Authentifizierungsverfahrens authentifiziert: Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver durch den Zugangspunkt, Senden von Identifizierungsdaten des drahtlosen Endgeräts in Reaktion auf erfolgreiche Authentifizierung an die Zugangssteuerungsliste durch den Zugangspunkt und Hinzufügen der Identifizierungsdaten des drahtlosen Endgeräts zur Zugangssteuerungsliste und Weiterleiten von Datenpaketen des in die Zugangssteuerungsliste aufgenommenen, drahtlosen Endgeräts durch die Zugangssteuerung, und folgende Schritte ausführend, wenn sich das drahtlose Endgerät unter Benutzung des zweiten Authentifizierungsverfahrens authentifiziert: Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsagenten durch den Zugangspunkt, Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver durch den Authentifizierungsagenten, Senden der Identifizierungsdaten des drahtlosen Endgeräts in Reaktion auf erfolgreiche Authentifizierung an die Zugangssteuerungsliste durch den Authentifizierungsagenten und Hinzufügen der Identifizierungsdaten des drahtlosen Endgeräts zu der Zugangssteuerungsliste und Weiterleiten von Datenpaketen des in die Zugangssteuerungsliste aufgenommenen, drahtlosen Endgeräts durch die Zugangssteuerung.According to a first aspect of the invention, there is provided a method for access control of a wireless terminal in a communication network, the communication network comprising an access point for establishing a communication connection with the wireless terminal, an authentication server for providing an authentication service for the wireless terminal for authentication for the communication network Authentication agents for relaying authentication information between the wireless terminal and the authentication server and an access controller for forwarding data packets from authenticated wireless terminals and blocking data packets from unauthenticated wireless terminals, an access control function comprising an access control list comprising a list of authenticated wireless terminals , wherein the wireless terminal is configured to perform any of the following authentication A first authentication method in which the access point forwards authentication information between the wireless terminal and the authentication server, a second authentication method in which the authentication agent forwards authentication information between the wireless terminal and the authentication server, wherein the A method characterized in that it comprises the steps of: identifying at the access point whether the wireless terminal is using the first authentication method or the second authentication method, performing the following steps when the wireless terminal authenticates using the first authentication method: forwarding authentication information between the wireless Terminal and the authentication server through the access point, sending identification data of the d in response to successful authentication to the access control list by the access point and adding the wireless terminal to the access control list and forwarding data packets of the wireless terminal included in the access control list by the access controller, and performing the following steps when using the wireless terminal the authentication method of the second authentication method: forwarding authentication information between the wireless terminal and the authentication agent by the access point, forwarding authentication information between the wireless terminal and the authentication server by the authentication agent, transmitting the authentication data of the wireless terminal in response to successful authentication to the access control list by the authentication agent and adding the identification data of the wireless terminal to the access control list and forwarding data packets of the recorded in the access control list, wireless terminal through the access control.

Gemäß einem zweiten Aspekt der Erfindung ist ein Zugangspunkt zum Aufbauen zum Aufbauen einer Kommunikationsverbindung mit einem drahtlosen Endgerät in einem Kommunikationsnetz bereitgestellt, das Kommunikationsnetz umfassend: einen Authentifizierungsserver zum Vorsehen eines Authentifizierungsdiensts für das drahtlose Endgerät zur Authentifizierung für das Kommunikationsnetz, einen Authentifizierungsagenten zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver und eine Zugangssteuerung zum Weiterleiten von Datenpaketen von authentifizierten, drahtlosen Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten, drahtlosen Datenpaketen, wobei eine Zugangssteuerungsfunktion eine Zugangssteuerungsliste umfasst, die eine Liste von authentifizierten, drahtlosen Endgeräten ist, wobei der Zugangspunkt dadurch gekennzeichnet ist, dass er dazu konfiguriert ist zu akzeptieren, dass das drahtlose Endgeräte eines der folgenden Authentifizierungsverfahren benutzt, um sich für das Kommunikationsnetz zu authentifizieren: ein erstes Authentifizierungsverfahren, bei dem der Zugangspunkt zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver konfiguriert ist, ein zweites Authentifizierungsverfahren, bei dem der Authentifizierungsagent zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und einem Authentifizierungsagenten konfiguriert ist, wobei der Zugangspunkt folgendes umfasst: Identifizierungsmittel zum Identifizieren, ob das drahtlose Endgerät das erste Authentifizierungsverfahren oder das zweite Authentifizierungsverfahren benutzt, erste Weiterleitungsmittel zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver als Reaktion auf eine Situation, in der identifiziert wurde, dass das drahtlose Endgerät das erste Authentifizierungsverfahren benutzt hat, erste Sendemittel zum Senden von Identifizierungsdaten des drahtlosen Endgeräts als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem ersten Authentifizierungsverfahren an die Zugangssteuerungsliste, zweite Weiterleitungsmittel zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsagenten als Reaktion auf eine Situation, in der identifiziert wurde, dass das drahtlose Endgerät das zweite Authentifizierungsverfahren benutzt hat, und zweite Sendemittel zum Senden von Identifizierungsdaten des drahtlosen Endgeräts als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem zweiten Authentifizierungsverfahren an die Zugangssteuerungsliste.According to one second aspect of the invention is an access point for building the Establishing a communication connection with a wireless terminal in one Communication network provided, the communication network comprising: an authentication server for providing an authentication service for the wireless terminal for Authentication for the communication network, an authentication agent for forwarding Authentication information between the wireless terminal and the Authentication server and access control for forwarding Data packets from authenticated wireless terminals and Block data packets from unauthenticated wireless Data packets, wherein an access control function is an access control list which is a list of authenticated wireless terminals, the access point being characterized by having thereto is configured to accept that the wireless terminal of a The following authentication method is used to sign up for the communication network to authenticate: a first authentication method the access point for forwarding authentication information between the wireless device and the authentication server is configured, a second authentication method, where the authentication agent is to forward authentication information between the wireless terminal and an authentication agent, wherein the Access point comprises: identifying means for identifying, whether the wireless terminal the first authentication method or the second authentication method uses first forwarding means for forwarding authentication information between the wireless device and the authentication server in response to a situation in which it has been identified that the wireless terminal is the first one Authentication method has used first transmission means for sending identification data of the wireless terminal in response to a successful Authentication of the wireless terminal according to the first authentication method to the access control list, second forwarding means for forwarding of authentication information between the wireless terminal and the Authentication agent in response to a situation in which it has been identified that the wireless terminal is the second authentication method and second transmitting means for transmitting identification data of the wireless terminal in response to successful authentication of the wireless terminal according to the second Authentication procedure to the access control list.

Gemäß einem dritten Aspekt der Erfindung ist ein System zur Zugangssteuerung eines drahtlosen Endgeräts in einem Kommunikationsnetz bereitgestellt, das Kommunikationsnetz umfassend: einen Zugangspunkt zum Aufbauen einer Kommunikationsverbindung mit dem drahtlosen Endgerät, einen Authentifizierungsserver zum Vorsehen eines Authentifizierungsdiensts für das drahtlose Endgerät zur Authentifizierung für das Kommunikationsnetz, einen Authentifizierungsagenten zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver und eine Zugangssteuerung zum Weiterleiten von Datenpaketen von authentifizierten, drahtlosen Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten, drahtlosen Datenpaketen, wobei eine Zugangssteuerungsfunktion eine Zugangssteuerungsliste umfasst, die eine Liste von authentifizierten, drahtlosen Endgeräten ist, wobei das drahtlose Endgerät dazu konfiguriert ist, eines der folgenden Authentifizierungsverfahren zu benutzen, um sich für das Kommunikationsnetz zu authentifizieren: ein erstes Authentifizierungsverfahren, bei dem der Zugangspunkt Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver weiterleitet, ein zweites Authentifizierungsverfahren, bei dem der Authentifizierungsagent Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver weiterleitet, wobei das System dadurch gekennzeichnet ist, dass es folgendes umfasst: Identifizierungsmittel zum Identifizieren am Zugangspunkt, ob das drahtlose Endgerät das erste Authentifizierungsverfahren oder das zweite Authentifizierungsverfahren benutzt, erste Weiterleitungsmittel zum Weiterleiten am Zugangspunkt von Authentifizierungsinformation des ersten Authentifizierungsverfahrens zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver, zweite Weiterleitungsmittel zum Weiterleiten am Zugangspunkt von Authentifizierungsinformation des zweiten Authentifizierungsverfahrens zwischen dem drahtlosen Endgerät und dem Authentifizierungsagenten, dritte Weiterleitungsmittel am Authentifizierungsagenten zum Weiterleiten von Authentifizierungsinformation des zweiten Authentifizierungsverfahrens zwischen dem Zugangspunkt und dem Authentifizierungsserver, erste Sendemittel zum Senden vom Zugangspunkt von Identifizierungsdaten des drahtlosen Endgeräts als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem ersten Authentifizierungsverfahren an die Zugangssteuerungsliste, zweite Sendemittel zum Senden vom Authentifizierungsagenten der Identifizierungsdaten des drahtlosen Endgeräts als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem zweiten Authentifizierungsverfahren an die Zugangssteuerungsliste und Weiterleitungsmittel an der Zugangssteuerungsfunktion zum Weiterleiten von Datenpaketen des in die Zugangssteuerungsliste aufgenommenen, drahtlosen Endgeräts.According to a third aspect of the invention, there is provided a system for controlling access of a wireless terminal in a communication network, the communication network comprising: an access point for establishing a communication connection with the wireless terminal, an authentication server for providing an authentication service for the wireless terminal for authentication for the communication network, an authentication agent for relaying authentication information between the wireless terminal and the authentication server and an access controller for forwarding data packets from authenticated wireless terminals and blocking data packets from unauthenticated wireless data packets, wherein an access control function comprises an access control list comprising a list of authenticated wireless ones Terminal devices, wherein the wireless terminal is configured to be one of the following A first authentication method in which the access point forwards authentication information between the wireless terminal and the authentication server, a second authentication method in which the authentication agent forwards authentication information between the wireless terminal and the authentication server, wherein the A system characterized in that it comprises: identification means for identifying at the access point whether the wireless terminal is using the first authentication method or the second authentication method, first forwarding means for forwarding at the access point authentication information of the first authentication method between the wireless terminal and the authentication server, second routing means for forwarding at the access point of authentication information of the second authentication method between the wireless terminal and the authentication agent, third forwarding means at the authentication agent for relaying authentication information of the second authentication method between the access point and the authentication server, first transmission means for transmitting the access point of identification data of the wireless terminal in response to successful authentication of the wireless terminal according to first authentication method to the access control list, second transmission means for sending by the authentication agent the identification data of the wireless terminal in response to a successful authentication of the wireless terminal according to the second authentication method to the access control list and forwarding means to the access control function for forwarding data packets of the wireless terminal included in the access control list.

Im Folgenden wird die Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen detaillierter beschrieben.in the The invention will now be described with reference to the accompanying drawings Drawings described in more detail.

Es zeigen:It demonstrate:

1 ein Ablaufdiagramm, das ein Verfahren gemäß einer Ausführungsform der Erfindung darstellt; 1 a flowchart illustrating a method according to an embodiment of the invention;

2 ein Gerät gemäß einer Ausführungsform der Erfindung; 2 a device according to an embodiment of the invention;

3 das gegenwärtige Nokia Operator WLAN-System; 3 the current Nokia Operator WLAN system;

4 ein System gemäß dem IEEE 802.1x-Protokoll; 4 a system according to the IEEE 802.1x protocol;

5 ein System gemäß einer Ausführungsform der Erfindung; 5 a system according to an embodiment of the invention;

6 ein Ablaufdiagramm eines Verfahrens gemäß einer alternativen Ausführungsform der Erfindung; 6 a flowchart of a method according to an alternative embodiment of the invention;

7 einen Zugangspunkt gemäß einer alternativen Ausführungsform der Erfindung; und 7 an access point according to an alternative embodiment of the invention; and

8 ein System gemäß einer alternativen Ausführungsform der Erfindung. 8th a system according to an alternative embodiment of the invention.

1 zeigt ein Ablaufdiagramm eines Verfahrens gemäß einer Ausführungsform der Erfindung. Bei Schritt 101 bauen ein Zugangspunkt und ein Endgerät, wie etwa ein drahtloses Kommunikationsgerät, eine Verbindung auf und ordnen sich einander zu. Auf Anstoß des Zugangspunkts prüft die Routine dann, ob Authentifizierung gemäß der zweiten Protokollschicht (Schritt 102) oder Open System Authentication (Schritt 103) betroffen ist. Diese Prüfung wird am Zugangspunkt auf Grundlage von Authentifizierungs- und Zuordnungsnachrichten ausgeführt wie im Folgenden erläutert. In einem WLAN-System gemäß dem IEEE 802.11-Standard sendet das Endgerät, wenn es Open System Authentication benutzt, eine Authentifizierungsanfragenachricht an den Zugangspunkt, die Open System Authentication anzeigt. Der Zugangspunkt reagiert mit einer Authentifizierungsantwortnachricht. Der Austausch dieser anfänglichen Authentifizierungsnachrichten authentifiziert das Endgerät eigentlich nicht, sondern ihre Funktion ist nichtig; daher die Bezeichnung Open System Authentication. Eine derartige Open System Authentication ist in WLAN-Systemen gemäß dem IEEE 802.11i-Standard gleichfalls möglich. In einem WLAN-System gemäß dem IEEE 802.11i-Standard gibt es, wenn das Endgerät das 802.1x-Authentifizierungsverfahren benutzt, keine anfänglichen Authentifizierungsanfrage- und – antwortnachrichten, sondern das Endgerät ordnet sich dem Zugangspunkt zunächst durch Senden einer Zuordnungsanfragenachricht an den Zugangspunkt zu. Die Anfrage umfasst eine Anfrage zur Authentifizierung durch Benutzung des Authentifizierungsverfahrens gemäß dem IEEE 802.1x-Standard. Damit identifiziert der Zugangspunkt das Authentifizierungsverfahren, das das Endgerät benutzt, auf Grundlage der Authentifizierungs- und Zuordnungsnachrichten. Wenn das Endgerät das Open System Authentication-Verfahren einsetzt, empfängt das Endgerät eine IP-Adresse von beispielsweise einem DHCP-Server, der am Zugangspunkt, Authentifizierungsagenten oder anderswo in dem Netz (104) angeordnet sein kann, wonach ein IP-basiertes Authentifizierungsprotokoll gemäß der dritten Protokollschicht ausgeführt wird (105). Eine IP-Schichtauthentifizierung wird zwischen dem Endgerät und dem Authentifizierungsagenten ausgeführt. Nach einer erfolgreichen IP-Schichtauthentifizierung wird das authentifizierte Endgerät in eine Zugangssteuerungsliste aufgenommen, die in dem Netzelement unterhalten wird, das die Zugangssteuerungsfunktion enthält (Schritt 106 und 107). Dies ermöglicht es der Zugangssteuerung, Datenpakete des Endgeräts weiterzuleiten. Wenn die Zugangssteuerungsfunktion im Authentifizierungsagenten angeordnet ist, dann ist der Authentifizierungsagent imstande, die Zugangssteuerungsliste unabhängig durch internes Senden der Identifizierungsdaten des Endgeräts an die Zugangssteuerfunktion zu aktualisieren. Wenn die Zugangssteuerungsfunktion in einem anderen Netzelement angeordnet ist, dann kann der Authentifizierungsagent die Zugangssteuerungsliste durch Senden einer Nachricht an das Netzelement aktualisieren, das die Zugangssteuerungsfunktion enthält. Beispielsweise kann diese Nachricht über das IP-Protokoll unter Benutzung des User Datagramm Protocol (UDP) gesendet werden. Die Nachricht enthält zumindest die Identifizierungsdaten des authentifizierten Endgeräts, wie etwa eine IP-Adresse des Endgeräts, die in der Zugangssteuerungsliste aktualisiert werden muss. 1 shows a flowchart of a method according to an embodiment of the invention. At step 101 An access point and a terminal, such as a wireless communication device, establish a connection and associate with each other. Upon initiation of the access point, the routine then checks to see if authentication according to the second protocol layer (step 102 ) or Open System Authentication (step 103 ) is affected. This check is performed on the access point based on authentication and allocation messages, as explained below. In a WLAN system according to the IEEE 802.11 standard, when using Open System Authentication, the terminal sends an authentication request message to the access point indicating Open System Authentication. The access point responds with an authentication response message. The exchange of these initial authentication messages actually does not authenticate the terminal, but their function is void; hence the name Open System Authentication. Such Open System Authentication is also possible in WLAN systems according to the IEEE 802.11i standard. In a WLAN system according to the IEEE 802.11i standard, when the terminal uses the 802.1x authentication method, there are no initial authentication request and response messages, but the terminal first assigns the access point to the access point by sending an association request message. The request includes a request for authentication using the authentication method according to the IEEE 802.1x standard. Thus, the access point identifies the authentication method that the terminal uses based on the authentication and allocation messages. When the terminal uses the Open System Authentication method, the terminal receives an IP address from, for example, a DHCP server located at the access point, authentication agent or elsewhere in the network ( 104 ), according to which an IP-based authentication protocol according to the third protocol layer is executed ( 105 ). IP layer authentication is performed between the terminal and the authentication agent. After a successful IP layer authentication, the authenticated terminal is included in an access control list maintained in the network element containing the access control function (step 106 and 107 ). This allows the access control to forward data packets of the terminal. If the access control function is located in the authentication agent, then the authentication agent is able to update the access control list independently by internally transmitting the terminal's identification data to the access control function. If the access control function is located in another network element, then the authentication agent can update the access control list by sending a message to the network element containing the access control function. For example, this message can be sent over the IP protocol using the User Datagram Protocol (UDP). The message contains at least the authentication data of the authenticated terminal, such as an IP address of the terminal, which must be updated in the access control list.

Wenn das Endgerät gemäß der zweiten Protokollschicht authentifiziert wird, wird die IEEE 802.1x-Protokollauthentifizierung (Schritt 102) zunächst zwischen dem Endgerät und dem Zugangspunkt ausgeführt (Schritt 108). Nach einer erfolgreichen Authentifizierung gemäß dem IEEE 802.1x-Protokoll empfängt das Endgerät eine IP-Adresse beispielsweise von dem DHCP-Server, der beispielsweise am Zugangspunkt oder am Authentifizierungsagenten oder anderswo im Netz angeordnet sein kann (Schritt 109), und der Zugangspunkt überträgt Information über das Ereignis an die Zugangssteuerungsfunktion (106). Wenn der Zugangspunkt die Zugangssteuerungsfunktion enthält, dann aktualisiert der Zugangspunkt die Zugangssteuerungsliste unabhängig durch internes Senden der Information des Endgeräts an die Zugangssteuerfunktion. Wenn die Zugangssteuerungsfunktion in einem anderen Netzelement angeordnet ist, dann aktualisiert der Zugangspunkt die Zugangssteuerungsliste durch Senden einer Nachricht an das Netzelement, das die Zugangssteuerungsfunktion enthält. Beispielsweise kann diese Nachricht über das IP-Protokoll unter Benutzung des User Datagramm Protocol (UDP) gesendet werden. Die Nachricht enthält zumindest die Identifizierungsdaten des authentifizierten Endgeräts, wie etwa eine IP-Adresse oder ein MAC-Adresse des Endgeräts, die in der Zugangssteuerungsliste aktualisiert werden muss. Die Zugangssteuerungsfunktion fügt dann die Information, wie etwa die IP-Adresse oder die MAC-Adresse des authentifizierten Endgeräts der Liste hinzu, die sie unterhält (Schritt 107). Dies ermöglicht es der Zugangssteuerungsfunktion, Datenpakete des Endgeräts weiterzuleiten (Schritt 110).If the terminal is authenticated according to the second protocol layer, IEEE 802.1x protocol authentication (step 102 ) is first executed between the terminal and the access point (step 108 ). After a successful authentication according to the IEEE 802.1x protocol, the terminal receives an IP address, for example from the DHCP server, which may be located, for example, at the access point or at the authentication agent or elsewhere in the network (step 109 ), and the access point transmits information about the event to the access controller function ( 106 ). If the access point contains the access control function, then the access point independently updates the access control list by internally transmitting the information of the terminal to the access control function. If the access control function is located in another network element, then the access point updates the access control list by sending a message to the network element containing the access control function. For example, this message can be sent over the IP protocol using the User Datagram Protocol (UDP). The message contains at least the identification data of the authenticated terminal, such as an IP address or a MAC address of the terminal, which must be updated in the access control list. The access control function then adds the information, such as the IP address or MAC address of the authenticated terminal, to the list it maintains (step 107 ). This allows the access control function to forward data packets of the terminal (step 110 ).

Auch wenn die Zugangssteuerungsfunktion von der Authentikatoreinheit, wie etwa dem Zugangspunkt oder dem Authentifizierungsagenten, getrennt ist, muss die Authentikatoreinheit der Zugangssteuerung nicht notwendigerweise ausdrückliche Information einer erfolgreichen Authentifizierung senden, wenn die Zugangssteuerung imstande ist, sie anderweitig zu folgern, beispielsweise folgendermaßen. In Verbindung mit Authentifizierung kommuniziert die Authentikatoreinheit typischerweise mit dem Authentifizierungsserver, der sich weiter innerhalb des Netzes befindet. Die Kommunikation findet gewöhnlich unter Benutzung eines so genannten AAA-Protokolls (Authentication, Authorization, Accounting) statt, wie etwa dem RADIUS- (Remote Authentication Dial In User Service) oder dem DIAMETER-Protokoll. Wenn die Zugangssteuerungsfunktion als RADIUS-Proxyserver arbeitet und AAA-Protokollnachrichten zwischen der Authentikatoreinheit und dem Authentifizierungsserver überträgt, erhält die Zugangssteuerungsfunktion bereits durch Untersuchen der RADIUS-Nachrichten Information über eine erfolgreiche Authentifizierung. Ein Problem, das hier im Falle von IEEE 802.1x-Authentifizierung entsteht, ist, dass die Zugangssteuerung die IP-Adresse des Endgeräts, die zu dem Zeitpunkt, an dem die Authentifizierung erfolgt, noch nicht bekannt ist, für die Liste, die sie unterhält, benötigt. Wenn die Zugangssteuerungsfunktion jedoch als der DHCP-Server dient, der IP-Adressen nach der 802,1x-Authentifizierung verteilt, kann die Liste damit durch Kombinieren an der Zugangssteuerungsfunktion der Information über die erfolgreiche Authentifizierung, der damit erhaltenen MAC-Adresse des Endgeräts und der erfolgreichen Ausführung des DHCP-Protokolls aktualisiert werden, wodurch eine IP-Adresse erhalten wird, die der MAC-Adresse entspricht.Also if the access control function of the authenticator unit, such as the access point or the authentication agent, is separate, the authenticator unit of the access control does not necessarily have to express Send information for a successful authentication when the Access control is able to reason otherwise, for example follows. In conjunction with authentication, the authenticator unit communicates typically with the authentication server that continues located within the network. The communication usually takes place Use of a so-called AAA protocol (Authentication, Authorization, Accounting), such as the RADIUS (Remote Authentication Dial In User Service) or the DIAMETER protocol. If the access control function as RADIUS proxy server works and AAA log messages between the authenticator unit and the authentication server receives the access control function already by examining the RADIUS news information about one successful authentication. A problem here in the case of IEEE 802.1x authentication arises is that access control the IP address of the terminal, the at the time the authentication is done, not yet is known for the list she maintains needed. However, if the access control function is the DHCP server, IP addresses distributed after 802.1x authentication, the List this by combining at the access control function of information about the successful authentication, the resulting MAC address of the terminal and the successful execution of the DHCP protocol, resulting in an IP address which corresponds to the MAC address.

2 zeigt einen Zugangspunkt 200 einer Ausführungsform der Erfindung. Der Zugangspunkt 200 umfasst einen Prozessor 201 und einen Speicher 202 zum Ausführen der betreffenden Vorgänge und zumindest eine Anwendung 203 zum Ausführen von z.B. dem Identifizieren eines Authentifizierungsverfahrens. Der Zugangspunkt 200 umfasst ferner eine Schnittstelle zum Verbinden mit dem Router, mit Servern wie beispielsweise einer Zugangssteuerung oder einem Authentifizierungsserver. Der Zugangspunkt umfasst ferner Identifizierungsmittel 207 zum Identifizieren, ob das Endgerät das erste oder zweite Authentifizierungsverfahren benutzt. Vorzugsweise identifiziert der Zugangspunkt das Authentifizierungsverfahren durch Empfangen einer Nachricht von dem Endgerät, wobei die Nachricht das Authentifizierungsverfahren anzeigt, das das Endgerät benutzt. Wenn das Endgerät das Open-System-Authentication-Verfahren einsetzt, ist die Nachricht vorzugsweise eine Authentifizierungsanfragenachricht gemäß dem IEEE 802.11-Standard, wobei die Authentifizierungsanfragenachricht Open System Authentication anzeigt. Wenn das Endgerät das IEEE 802.1x-Authentifizierungsverfahren einsetzt, ist die Nachricht eine Zuordnungsanfragenachricht, vorzugsweise gemäß dem IEEE 802.11i-Standard. Die Zuordnungsanfragenachricht umfasst ein Authentifizierungssuiteelement, das IEEE 802.1x-Authentifizierung anzeigt. Der Zugangspunkt umfasst ferner Sendemittel zum Senden der Identifizierungsdaten des authentifizierten Endgeräts an die Liste der Zugangssteuerung, wenn das Endgerät das Authentifizierungsverfahren benutzt, bei dem der Zugangspunkt Authentifizierungsinformation zwischen dem Endgerät und dem Authentifizierungsserver weiterleitet. Der Zugangspunkt umfasst ferner Weiterleitungsmittel 206 zum Weiterleiten von Authentifizierungsinformation zwischen dem Endgerät und einem der folgenden: dem Authentifizierungsserver, wenn das Endgerät das erste Authentifizierungsverfahren benutzt, und dem Authentifizierungsagenten, wenn das Endgerät das zweite Authentifizierungsverfahren benutzt. Falls die logische Zugangssteuerungsfunktion im Zugangspunkt enthalten ist, umfasst der Zugangspunkt ferner Zugangssteuerungsmittel 208 zum Weiterleiten von Datenpaketen von authentifizierten Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten Endgeräten. 2 shows an access point 200 an embodiment of the invention. The access point 200 includes a processor 201 and a memory 202 to execute the relevant operations and at least one application 203 for performing eg identifying an authentication method. The access point 200 further comprises an interface for connecting to the router, to servers such as an access control or an authentication server. The access point further comprises identification means 207 for identifying whether the terminal is using the first or second authentication method. Preferably, the access point identifies the authentication method by receiving a message from the terminal, the message indicating the authentication method the terminal is using. When the terminal employs the open system authentication method, the message is preferably an authentication request message according to the IEEE 802.11 standard, the authentication request message indicating Open System Authentication. When the terminal employs the IEEE 802.1x authentication method, the message is an association request message, preferably in accordance with the IEEE 802.11i standard. The association request message includes an authentication suite element that displays IEEE 802.1x authentication. The access point further comprises transmitting means for transmitting the authentication data of the authenticated terminal to the access control list when the terminal uses the authentication method in which the access point forwards authentication information between the terminal and the authentication server. The access point further comprises forwarding means 206 for forwarding authentication information between the terminal and one of the following: the authentication server when the terminal uses the first authentication method and the authentication agent when the terminal uses the second authentication method. If the logical access control function is included in the access point, the access point further comprises access control means 208 for forwarding data packets from authenticated terminals and blocking data packets from unauthenticated terminals.

Ein Endgerät, das das Open-System-Authentication-Verfahren einsetzt, empfängt eine IP-Adresse zur Benutzung vom DHCP-Server, der sich am Authentifizierungsagenten oder alternativ am Zugangspunkt oder anderswo im Netz befinden kann. Der Zugangspunkt 200 leitet Authentifizierungsnachrichten zwischen dem Endgerät und dem Authentifizierungsagenten weiter, der als Authentikatoreinheit arbeitet und das Endgerät unter Benutzung des IP-basierten Authentifizierungsverfahrens der dritten Protokollschicht authentifiziert. Der Authentifizierungsagent benutzt typischerweise den vom Authentifizierungsserver bereitgestellten Authentifizierungsdienst durch weiteres Weiterleiten der Authentifizierungsinformation zwischen dem Endgerät und dem Authentifizierungsserver, der die Authentifizierungsinformation verifiziert. Nach der Authentifizierung sendet der Authentifizierungsagent Information über eine erfolgreiche Authentifizierung und die Identifizierungsdaten des Endgeräts, wie etwa die IP-Adresse oder MAC-Adresse des Endgeräts, an die Zugangssteuerung, die sie der Zugangssteuerungsliste 204 hinzufügt und beginnt, die Datenpakete des Endgeräts weiterzuleiten.A terminal using the open-system authentication method receives an IP address for use by the DHCP server, which may be located at the authentication agent or alternatively at the access point or elsewhere in the network. The access point 200 forwards authentication messages between the terminal and the authentication agent acting as the authenticator unit and using the terminal the IP-based authentication method of the third protocol layer authenticated. The authentication agent typically uses the authentication service provided by the authentication server by further forwarding the authentication information between the terminal and the authentication server that verifies the authentication information. After authentication, the authentication agent sends information about a successful authentication and the terminal's identification data, such as the terminal's IP address or MAC address, to the access controller, which issues it to the access control list 204 adds and begins to forward the data packets of the terminal.

Wenn ein Endgerät das IEEE 802.1x-Protokoll zur Authentifizierung benutzt, arbeitet der Zugangspunkt als Authentikatoreinheit und authentifiziert das Endgerät unter Benutzung des IEEE 802.1x-Protokolls der zweiten Protokollschicht. Der Authentifizierungsagent benutzt typischerweise den vom Authentifizierungsserver bereitgestellten Authentifizierungsdienst durch Weiterleiten der Authentifizierungsinformation zwischen dem Endgerät und dem Authentifizierungsserver, der die Authentifizierungsinformation verifiziert. Der Authentifizierungsagent sendet Information über eine erfolgreiche Authentifizierung und die Identifizierungsdaten des Endgeräts, wie etwa die IP-Adresse oder MAC-Adresse des Endgeräts, an die Zugangssteuerung, die sie der Zugangssteuerungsliste 204 hinzufügt und beginnt, die Datenpakete des Endgeräts weiterzuleiten.When a terminal uses the IEEE 802.1x protocol for authentication, the access point operates as an authenticator unit and authenticates the terminal using the IEEE 802.1x protocol of the second protocol layer. The authentication agent typically uses the authentication service provided by the authentication server by forwarding the authentication information between the terminal and the authentication server that verifies the authentication information. The authentication agent sends information about a successful authentication and the terminal's identification data, such as the IP address or MAC address of the terminal, to the access controller, which will give it the access control list 204 adds and begins to forward the data packets of the terminal.

3 zeigt das gegenwärtige Nokia Operator WLAN-System. Das System umfasst ein drahtloses Endgerät 303, wie etwa ein WLAN-Endgerät, das zur Benutzung der Open System Authentication zu seiner Authentifizierung für das Netz konfiguriert ist, einen Zugangspunkt 301 zum Vorsehen einer drahtlosen Verbindung von dem Kommunikationsgerät 303 zum Netz, eine Zugangssteuerung 302 zum Weiterleiten von Authentifizierungsinformation zwischen dem Endgerät 303 und einem Authentifizierungsserver 307 zum Unterhalten einer Zugangssteuerungsliste 309 von authentifizierten Endgeräten (z.B. Endgerät 303) und zum Weiterleiten von Datenpaketen der authentifizierten Endgeräte, die in der Liste 309 aufgenommen sind. Das System umfasst ferner den Authentifizierungsserver 307 zum Bereitstellen eines Authentifizierungsdienstes für einen Authentikator, wie dem Zugangspunkt 301, durch Bestimmen, ob das Endgerät zum Zugreifen auf die Dienste autorisiert ist, die vom Zugangspunkt vorgesehen sind. Das System kann ferner Server, wie etwa einen DHCP-Server 305, zum Versehen des Endgeräts mit einer IP-Adresse, wenn die Open System Authentication benutzt ist, einen Accounting-Server 306 zum Abrechnen der an das und von dem Endgerät übertragenen Datenmenge und einen Router 308 zum Routen von Datenpaketen des Endgeräts umfassen. 3 shows the current Nokia Operator WLAN system. The system includes a wireless terminal 303 such as a WLAN terminal configured to use Open System Authentication for its authentication to the network, an access point 301 for providing a wireless connection from the communication device 303 to the network, an access control 302 for forwarding authentication information between the terminal 303 and an authentication server 307 for maintaining an access control list 309 of authenticated terminals (eg terminal 303 ) and for forwarding data packets of the authenticated terminals that are in the list 309 are included. The system further includes the authentication server 307 for providing an authentication service for an authenticator, such as the access point 301 by determining whether the terminal is authorized to access the services provided by the access point. The system may further include servers, such as a DHCP server 305 , to provide the terminal with an IP address when Open System Authentication is used, an accounting server 306 for billing the amount of data transmitted to and from the terminal and a router 308 for routing data packets of the terminal.

Wenn eine Authentifizierung des drahtlosen Endgeräts gemäß der dritten Protokollschicht ausgeführt wird, wie etwa die Open System Authentication, ordnet. sich das Endgerät 303 dem Zugangspunkt 301 zu. An diesem Punkt findet noch keine Authentifizierung statt. Eine IP-Adresse wird beispielsweise mithilfe des DHCP-Servers für das Endgerät 303 erstellt. Dann folgt die eigentliche Authentifizierung der dritten Protokollschicht. In einer Ausführungsform des OWLAN-Systems sendet das Kommunikationsgerät 303 beispielsweise eine Funkrufnachricht zum Rufen eines Authentifizierungsservers 307, wobei die Nachricht vom Authentifizierungsserver 307 beantwortet wird. Auf der Grundlage der Antwortnachricht erfährt das Endgerät 303, dass das betreffende Netz IP-basierte Authentifizierung der dritten Protokollschicht zwischen dem Endgerät 303 und der Zugangssteuerung 302 erfordert. Die Zugangssteuerung 302 tauscht Authentifizierungsnachrichten mit dem Authentifizierungsserver 307 aus. Bei der SIM-Authentifizierung beispielsweise wird die Internationale Mobilfunkteilnehmerkennung (IMSI) an den Authentifizierungsserver 307 übertragen. Die Zugangssteuerung 302 kommuniziert mit dem Authentifizierungsserver 307 unter Benutzung eines AAA-Protokolls (Authentication, Authorization, Accounting), wie etwa dem RADIUS-Protokoll (Remote Authentication Dial In User Service) oder dem DIAMETER-Protokoll.When authentication of the wireless terminal according to the third protocol layer is performed, such as Open System Authentication. itself the terminal 303 the access point 301 to. At this point no authentication takes place. For example, an IP address is obtained using the DHCP server for the terminal 303 created. Then follows the actual authentication of the third protocol layer. In one embodiment of the OWLAN system, the communication device sends 303 For example, a paging message for calling an authentication server 307 where the message is from the authentication server 307 is answered. Based on the answer message, the terminal experiences 303 in that the network in question has IP-based authentication of the third protocol layer between the terminal 303 and access control 302 requires. The access control 302 exchanges authentication messages with the authentication server 307 out. For example, in SIM authentication, the International Mobile Subscriber Identification (IMSI) is sent to the authentication server 307 transfer. The access control 302 communicates with the authentication server 307 using an AAA (Authentication, Authorization, Accounting) protocol, such as the Remote Authentication Dial In User Service (RADIUS) protocol or the DIAMETER protocol.

Der Authentifizierungsserver 307 erhält GSM-Challenges (GSM-Challenge ist ein Parameter, d.h. eine 128-Bit-Zufallszahl, die bei einer GSM-Authentifizierung benutzt wird) und sendet die Challenges unter Benutzung des AAA-Protokolls an die Zugangssteuerung 302, die sie ferner unter Benutzung des Authentifizierungsprotokolls NAAP der dritten Protokollschicht an das Endgerät 303 weiterleitet. Das Endgerät 303 berechnet dann einen Antwortwert, der der ausgegebenen Challenge entspricht, unter Benutzung eines Geheimschlüssels, der in der SIM-Karte gespeichert ist. Der Antwortwert ist eine 32-Bit-Zahl, und das Endgerät sendet die Antwort mit dem Authentifizierungsprotokoll der dritten Protokollschicht an die Zugangssteuerung 302. Die Zugangssteuerung 302 leitet die Information mit dem AAA-Protokoll an den Authentifizierungsserver 307 weiter. Der Authentifizierungsserver 307 verifiziert die Antwort durch Prüfen, ob das Endgerät einen korrekten Antwortwert berechnet hat oder nicht. Wenn die empfangene Antwort korrekt ist, sendet der Authentifizierungsserver 307 mit dem AAA-Protokoll eine Anzeige erfolgreicher Authentifizierung an die Zugangssteuerung 302, die die Anzeige mit dem Authentifizierungsprotokoll der dritten Protokollschicht an das Endgerät 303 weiterleitet. Nach der Authentifizierung werden die Identifizierungsdaten des Endgeräts 303 durch die Zugangssteuerung 302 in die Zugangssteuerungsliste 309 aufgenommen. Die Zugangssteuerung 302 überträgt nur Datenpakete des Kommunikationsgeräts, dessen Identifizierungsdaten, wie etwa eine IP- oder MAC-Adresse, in der Liste 309 zu finden sind.The authentication server 307 receives GSM challenges (GSM challenge is a parameter, ie a 128-bit random number used in GSM authentication) and sends the challenges to the access controller using the AAA protocol 302 They also use the authentication protocol NAAP of the third protocol layer to the terminal 303 forwards. The terminal 303 then calculates a response value corresponding to the issued challenge using a secret key stored in the SIM card. The response value is a 32-bit number, and the terminal sends the response with the authentication protocol of the third protocol layer to the access controller 302 , The access control 302 Forwards the information to the authentication server using the AAA protocol 307 further. The authentication server 307 verifies the answer by checking whether the terminal has calculated a correct answer value or not. If the received response is correct, the authentication server sends 307 with the AAA protocol an indication of successful authentication to the access control 302 indicating the authentication protocol of the third protocol layer to the terminal 303 forwards. After authentication, the identification data of the terminal 303 through the access control 302 in the Access control list 309 added. The access control 302 transmits only data packets of the communication device, its identification data, such as an IP or MAC address, in the list 309 can be found.

4 zeigt ein System gemäß dem IEEE 802.1x-Protokoll. Das System umfasst ein drahtloses Endgerät 404, wie etwa ein WLAN-Endgerät, das zur Benutzung des Authentifizierungsverfahrens gemäß dem IEEE 802.1x-Protokoll zu seiner Authentifizierung für das Netz konfiguriert ist, einen Zugangspunkt 401 zum Aufbauen einer Kommunikationsverbindung zu dem Endgerät 404 und zum Weiterleiten von Authentifizierungsinformation zwischen dem Endgerät 404 und einem Authentifizierungsserver 402. Das System umfasst ferner den Authentifizierungsserver 402 zum Bereitstellen eines Authentifizierungsdienstes für einen Authentikator, wie dem Zugangspunkt 401, durch Bestimmen, ob das Endgerät 404 zum Zugreifen auf die Dienste autorisiert ist, die vom Zugangspunkt vorgesehen sind, und einen Accounting-Server 405 zum Abrechnen der an das und von dem Endgerät übertragenen Datenmenge. Das System umfasst ferner einen oder mehrere Router 403 zum Routen von Datenpaketen des Endgeräts 404. 4 shows a system according to the IEEE 802.1x protocol. The system includes a wireless terminal 404 such as a WLAN terminal configured to use the authentication method according to the IEEE 802.1x protocol for its authentication for the network, an access point 401 for establishing a communication connection to the terminal 404 and for forwarding authentication information between the terminal 404 and an authentication server 402 , The system further includes the authentication server 402 for providing an authentication service for an authenticator, such as the access point 401 by determining if the terminal 404 authorized to access the services provided by the access point and an accounting server 405 for billing the amount of data transmitted to and from the terminal. The system further includes one or more routers 403 for routing data packets of the terminal 404 ,

Die Authentifikatoreinheit, wie etwa der Zugangspunkt 401, kommuniziert typischerweise unter Benutzung eines AAA-Protokolls (Authentication, Authorization, Accounting) mit dem Authentifizierungsserver 402, ähnlich der oben in 3 beschriebenen Nokia Operator Wireless LAN-Lösung. Wenn das Endgerät erfolgreich authentifiziert ist, leitet der Zugangspunkt Datenpakete zwischen dem Endgerät 404 und dem Router 403 weiter.The authenticator unit, such as the access point 401 typically communicates with the authentication server using an AAA protocol (Authentication, Authorization, Accounting) 402 , similar to the one above 3 described Nokia operator wireless LAN solution. When the terminal is successfully authenticated, the access point routes data packets between the terminal 404 and the router 403 further.

5 zeigt ein System gemäß einer Ausführungsform der Erfindung. Im Folgenden ist die Erfindung beispielhaft in einer Umgebung dargestellt, die ein drahtloses Endgerät 303, wie etwa ein WLAN-Endgerät, das sich unter Benutzung des Authentifizierungsverfahrens der dritten Protokollschicht, wie einer Open System Authentication, authentifizieren kann, und ein WLAN-Endgerät 404 umfasst, das sich unter Benutzung des Authentifizierungsverfahrens gemäß dem IEEE 802.11i-Standard authentifizieren kann, wie etwa ein drahtloses WLAN-Endgerät, das den IEEE 802.11i-Standard benutzt. Die Endgeräte sind imstande, eine Verbindung mit einem Kommunikationsnetz aufzubauen, das einen Zugangspunkt 501 zum Vorsehen einer drahtlosen Verbindung von dem Kommunikationsgerät 303, 404 zum Netz und zum Weiterleiten von Authentifizierungsinformation zwischen dem Endgerät 404 und einem Authentifizierungsserver 505 umfasst. Der Zugangspunkt umfasst eine logische Zugangssteuerungsfunktion 502 zum Weiterleiten von Datenpaketen des authentifizierten Endgeräts und Blockieren von Datenpaketen von nicht authentifizierten Endgeräten, und eine Liste 503 authentifizierter Endgeräte. Die Zugangssteuerungsfunktion 502 und die Liste 503 können alternativ beispielsweise in einem Authentifizierungsagenten 504, Router 508 oder anderswo im Netz angeordnet sein. Das System umfasst ferner einen Authentifizierungsagenten 504 zum Weiterleiten von Authentifizierungsinformation zwischen dem Endgerät 303 und dem Authentifizierungsserver 505. Das System umfasst ferner Server, wie etwa einen DHCP-Server 506 zum Bereitstellen einer IP-Adresse für das Endgerät 303, einen Accounting-Server 507 zum Abrechnen der an das und von dem Endgerät übertragenen Datenmenge und einen Authentifizierungsserver 505 zum Bereitstellen eines Authentifizierungsdiensts für einen Authentikator. Der Authentikator ist eines der folgenden: der Zugangspunkt 501 und der Authentifizierungsagent 504. Der Authentifizierungsserver 505 bestimmt, ob das Endgerät zum Zugreifen auf die vom Authentikator bereitgestellten Dienste autorisiert ist. Das System umfasst außerdem einen oder mehrere Router 506 zum Routen von Datenpaketen der Endgeräte 303, 404. 5 shows a system according to an embodiment of the invention. In the following, the invention is exemplified in an environment comprising a wireless terminal 303 such as a WLAN terminal that can authenticate using the authentication method of the third protocol layer, such as Open System Authentication, and a WLAN terminal 404 which can authenticate using the authentication method according to the IEEE 802.11i standard, such as a wireless WLAN terminal using the IEEE 802.11i standard. The terminals are capable of establishing a connection to a communications network having an access point 501 for providing a wireless connection from the communication device 303 . 404 to the network and to forward authentication information between the terminal 404 and an authentication server 505 includes. The access point includes a logical access control function 502 for forwarding data packets of the authenticated terminal and blocking data packets from unauthenticated terminals, and a list 503 authenticated terminals. The access control function 502 and the list 503 Alternatively, for example, in an authentication agent 504 , Router 508 or elsewhere in the network. The system further includes an authentication agent 504 for forwarding authentication information between the terminal 303 and the authentication server 505 , The system further includes servers, such as a DHCP server 506 for providing an IP address for the terminal 303 , an accounting server 507 for billing the amount of data transmitted to and from the terminal and an authentication server 505 for providing an authentication service for an authenticator. The authenticator is one of the following: the access point 501 and the authentication agent 504 , The authentication server 505 determines whether the terminal is authorized to access the services provided by the authenticator. The system also includes one or more routers 506 for routing data packets of the terminals 303 . 404 ,

Der Zugangspunkt 501 sendet Nachrichten, wie etwa Beacon-Nachrichten gemäß IEEE 802.11i- oder IEEE 802.11-Standard, an die Umgebung des Zugangspunkts. Die Beacon-Nachricht kann ein Authentifizierungssuiteelement umfassen, das ferner Information über das Authentifizierungsverfahren umfasst, das der Zugangspunkt handhaben kann, z.B. das Authentifizierungsverfahren gemäß dem IEEE 802.11i-Standard. Ein drahtloses Endgerät 404, das den IEEE 802.11i-Standard implementiert, wird erkennen, dass der Zugangspunkt das IEEE 802.1x-Authentifizierungsprotokoll unterstützt. Ein drahtloses Endgerät 303, das den IEEE 802.11i-Standard nicht implementiert, verarbeitet das Authentifizierungssuiteelement nicht, interpretiert jedoch die Beacon-Nachricht gemäß dem IEEE 802.11-Standard und erkennt dadurch, dass der Zugangspunkt Open System-Zuordnungen unterstützt. Das Endgerät 303, 404 empfängt die vom Zugangspunkt 501 gesendete Beacon-Nachricht. Das Endgerät 303, 4040 kann mehrere Beacon-Nachrichten von mehreren Zugangspunkten empfangen, die sich innerhalb der Reichweite des Endgeräts befinden. Alternativ zu Beacon-Nachrichten kann das Endgerät 303, 404 außerdem lokale Zugangspunkte durch Senden von Nachrichten, wie etwa eine Probe-Anfragenachricht gemäß dem IEEE 802.11i-Standard oder dem IEEE 802.11-Standrard, an alle Zugangspunkte innerhalb der Reichweite des Endgeräts auffinden. Wenn der Zugangspunkt 501 die Probe-Anfragenachricht empfängt, sendet das Endgerät 303, 404 in Reaktion auf die Probe-Anfrage eine Nachricht, wie etwa eine Probe-Antwortnachricht gemäß dem IEEE 802.11i- oder IEEE 802.11-Standard. Die Probe-Antwortnachricht an das Endgerät 404 wird gemäß dem IEEE 802.1i-Standard gesendet und umfasst das Authentifizierungssuiteelement, das Information des Authentifizierungsverfahrens umfasst. Die Probe-Antwortnachricht an das Endgerät 303 kann gemäß dem IEEE 802.11-Standard gesendet werden und braucht daher das Authentifizierungssuiteelement nicht zu enthalten. Das Endgerät 303, 404 empfängt die Probe-Antwortnachricht von dem Zugangspunkt 501. Das Endgerät 303, 404 kann mehrere Probe-Antwortnachrichten von mehreren Zugangspunkten erhalten, die sich innerhalb der Reichweite des Endgeräts befinden.The access point 501 sends messages, such as IEEE 802.11i or IEEE 802.11 beacon messages, to the environment of the access point. The beacon message may comprise an authentication suite element further comprising information about the authentication method that the access point can handle, eg the authentication method according to the IEEE 802.11i standard. A wireless device 404 that implements the IEEE 802.11i standard, will recognize that the access point supports the IEEE 802.1x authentication protocol. A wireless device 303 that does not implement the IEEE 802.11i standard does not process the authentication suite item, but interprets the beacon message in accordance with the IEEE 802.11 standard, thereby recognizing that the access point supports Open System mappings. The terminal 303 . 404 receives the from the access point 501 sent beacon message. The terminal 303 . 4040 can receive multiple beacon messages from multiple access points that are within range of the end device. As an alternative to beacon messages, the terminal can 303 . 404 also locate local access points by sending messages, such as an IEEE 802.11i standard or IEEE 802.11 standard sample request message, to all access points within the range of the terminal. If the access point 501 receives the probe request message, sends the terminal 303 . 404 in response to the probe request, a message such as a probe response message according to the IEEE 802.11i or IEEE 802.11 standard. The probe response message to the terminal 404 is according to the IEEE 802 .1i standard and includes the authentication suite element comprising information of the authentication method. The probe response message to the terminal 303 can be sent in accordance with the IEEE 802.11 standard and therefore does not need to contain the authentication suite element. The terminal 303 . 404 receives the probe response message from the access point 501 , The terminal 303 . 404 can receive multiple probe response messages from multiple access points that are within range of the end device.

Nach der Entdeckung geeigneter lokaler Zugangspunkte auf Grundlage von Beacon-Nachrichten oder Probe-Nachrichten wählt das Endgerät 303, 404 den Zugangspunkt aus, der das Authentifizierungsverfahren unterstützt, welches das Endgerät benutzt. Das Endgerät 404, das den IEEE 802.11i-Standard unterstützt und das IEEE 802.1x-Authentifizierungsverfahren zu benutzen wünscht, fügt der Nachricht, wie etwa einer Zuordnungsanfragenachricht gemäß dem IEEE 802.11i-Standard, das Authentifizierungssuiteelement hinzu. Das Endgerät 303, das Open System Authentication zu benutzen wünscht, beginnt die Open Authentication durch Senden einer Authentifizierungsanfragenachricht, auf die der Zugangspunkt 501 mit einer Authentifizierungsantwortnachricht antwortet, die Erfolg anzeigt. Der Open Authentication folgt die Zuordnung. Das Endgerät 303 beinhaltet kein Authentifizierungssuiteelement in den Zuordnungsnachrichten, die es sendet. Danach sendet das Endgerät 303, 404 die Zuordnungsanfragenachricht an den Zugangspunkt. Auf der Grundlage der Authentifizierungs- oder Zuordnungsanfragenachricht identifiziert der Zugangspunkt 501 das Authentifizierungsverfahren, das das Endgerät 303, 404 benutzt.After discovering suitable local access points based on beacon messages or probe messages, the terminal selects 303 . 404 the access point that supports the authentication method that the terminal uses. The terminal 404 , which supports the IEEE 802.11i standard and wishes to use the IEEE 802.1x authentication method, adds the authentication suite element to the message, such as an IEEE 802.11i assignment request message. The terminal 303 who wishes to use Open System Authentication, begins the Open Authentication by sending an authentication request message to which the access point 501 respond with an authentication response message indicating success. The Open Authentication follows the assignment. The terminal 303 does not include an authentication suite element in the assignment messages it sends. Then the terminal sends 303 . 404 the association request message to the access point. Based on the authentication or assignment request message, the access point identifies 501 the authentication method that the terminal 303 . 404 used.

Wenn eine Authentifizierung des drahtlosen Kommunikationsgeräts gemäß der dritten Protokollschicht ausgeführt wird, ordnet sich das Kommunikationsgerät 303 dem Zugangspunkt 501 zu, wobei an diesem Punkt noch keine Authentifizierung ausgeführt wird. Eine IP-Adresse wird beispielsweise mithilfe des DHCP-Protokolls für das Kommunikationsgerät 303 erstellt. Dann folgt die eigentliche Authentifizierung der dritten Protokollschicht. In einer Ausführungsform des OWLAN-Systems beispielsweise sendet das Endgerät 303 eine Funkrufnachricht zum Rufen eines Authentifizierungsagenten 504, wobei die Nachricht vom Authentifizierungsagenten beantwortet wird. Auf der Grundlage der Antwortnachricht erfährt das Endgerät 303, dass das betreffende Netz IP-basierte Authentifizierung der dritten Protokollschicht zwischen dem Kommunikationsgerät 303 und dem Authentifizierungsagenten 504 erfordert. Der Authentifizierungsagent 504 tauscht unter Benutzung eines AAA-Protokolls Authentifizierungsnachrichten mit dem Authentifizierungsserver 505 aus. Die Authentifizierungsprozedur ähnelt dem in 3 beschriebenen Nokia Operator Wireless LAN-System. Der Authentifizierungsagent 504 empfängt eine Meldung der erfolgreichen Authentifizierung vom Authentifizierungsserver 507 mithilfe des AAA-Protokolls. Nach der Authentifizierung sendet der Authentifizierungsagent die Identifizierungsdaten, wie etwa eine IP-Adresse, des Endgeräts 303 an die Zugangssteuerungsfunktion 502. In dieser Ausführungsform ist die Zugangssteuerungsfunktion 502 in dem Zugangspunktgerät 501 implementiert. Der Authentifizierungsagent 504 sendet eine Nachricht an den Zugangspunkt 501. Beispielsweise kann die Nachricht unter Benutzung des User Datagram Protocol (UDP) über das Internet Protocol (IP) gebildet werden. Die Nachricht enthält zumindest die Identifizierungsdaten des Endgeräts 303. Nach dem Empfang der Nachricht nimmt die Zugangssteuerungsfunktion 502 im Zugangspunkt 501 die Identifizierungsdaten in der Zugangssteuerungsliste 503 auf. Die Zugangssteuerungsfunktion 502 leitet nur Datenpakete des Endgeräts weiter, dessen Identifizierungsdaten, wie etwa eine IP- oder MAC-Adresse, in der Liste 503 zu finden sind. Die Authentifizierung muss typischerweise nach einem bestimmten Zeitraum von dem Kommunikationsgerät wiederholt werden, z.B. wenn das Endgerät ausgeschaltet wird (aufgrund niedrigen Batteriepegels), das Netz verlässt (Schattengebiet) oder automatisch die Nutzung eines Diensts beendet. Die Zugangssteuerung 502 bewahrt einen Datensatz der Verbindungsdauer des Kommunikationsgeräts 303 und der Anzahl übertragener/empfangener Datenpakete. Die Zugangssteuerung 502 sendet die Information beispielsweise an den Authentifizierungsserver 505 oder den Accounting-Server 507 als Grundlage für die Benutzerabrechnung. Alternativ kann die Authentifizierung gemäß der dritten Protokollschicht derart ausgeführt werden, dass, wenn der Benutzer einen WWW-Browser öffnet, der Authentifizierungsagent 504 dem Browser des Endgeräts 303 eine Seite sendet, die die Benutzeridentifikation und das Passwort abfragt, wodurch der Benutzer identifiziert wird und in der Zugangssteuerungsliste 503 aufgenommen wird. Als weitere Alternative kann die Authentifizierung gemäß der dritten Protokollschicht unter Benutzung einer Virtual Private Network- (VPN-) Software ausgeführt werden, bei der die Benutzerauthentifizierung typischerweise als Teil des Internet Key Change- (IKC-) Protokolls ausgeführt wird.When authentication of the wireless communication device according to the third protocol layer is performed, the communication device is arranged 303 the access point 501 to, at which point no authentication is performed yet. An IP address becomes, for example, using the DHCP protocol for the communication device 303 created. Then follows the actual authentication of the third protocol layer. For example, in one embodiment of the OWLAN system, the terminal transmits 303 a paging message to call an authentication agent 504 where the message is answered by the authentication agent. Based on the answer message, the terminal experiences 303 in that the network in question has IP-based authentication of the third protocol layer between the communication device 303 and the authentication agent 504 requires. The authentication agent 504 exchanges authentication messages with the authentication server using an AAA protocol 505 out. The authentication procedure is similar to the one in 3 described Nokia Operator Wireless LAN system. The authentication agent 504 receives a message of successful authentication from the authentication server 507 using the AAA protocol. After authentication, the authentication agent sends the identification data, such as an IP address, of the terminal 303 to the access control function 502 , In this embodiment, the access control function is 502 in the access point device 501 implemented. The authentication agent 504 sends a message to the access point 501 , For example, the message can be formed using the User Datagram Protocol (UDP) over the Internet Protocol (IP). The message contains at least the identification data of the terminal 303 , After receiving the message takes the access control function 502 in the access point 501 the identification data in the access control list 503 on. The access control function 502 only forwards data packets of the terminal whose identification data, such as an IP or MAC address, in the list 503 can be found. The authentication typically has to be repeated by the communication device after a certain period of time, for example when the terminal is switched off (due to low battery level), leaving the network (shadow area) or automatically terminating the use of a service. The access control 502 preserves a record of the connection time of the communication device 303 and the number of transmitted / received data packets. The access control 502 For example, send the information to the authentication server 505 or the accounting server 507 as a basis for user billing. Alternatively, the authentication according to the third protocol layer may be performed such that when the user opens a WWW browser, the authentication agent 504 the browser of the terminal 303 sends a page that queries the user identification and password, thereby identifying the user and in the access control list 503 is recorded. As a further alternative, authentication according to the third protocol layer may be performed using Virtual Private Network (VPN) software, where user authentication is typically performed as part of the Internet Key Change (IKC) protocol.

Bei der Authentifizierung der zweiten Protokollschicht kommen das Kommunikationsgerät 404 und der Zugangspunkt 501 bereits während der Zuordnung überein, dass sie WLAN-Authentifizierung (und nicht Open System Authentication wie bei der Authentifizierung der dritten Protokollschicht) benutzen werden. Die WLAN-Authentifizierung wird wie im IEEE 802.1x-Protokoll spezifiziert ausgeführt. Nach einer erfolgreichen Authentifizierung wird die Zugangssteuerungsfunktion 502 über das Ereignis informiert, und sie nimmt das gemäß der zweiten Protokollschicht authentifizierte Endgerät 404 in die Zugangsliste 503 auf und beginnt, die Pakete des authentifizierten Endgeräts weiterzuleiten. Da die Zugangssteuerungsfunktion 502 in dem Zugangspunktgerät 501 implementiert ist, ist der Zugangspunkt 501 imstande, die Identifizierungsdaten des Endgeräts lokal an die Zugangssteuerungsfunktion 502 zu senden. Die Zugangssteuerungsliste 503 umfasst Identifizierungsdaten von Endgeräten, die gemäß der dritten sowie der zweiten Protokollschicht authentifiziert sind. Nach der Authentifizierung der zweiten Protokollschicht muss der Authentifizierungsagent 504 das Endgerät keiner Authentifizierung der dritten Protokollschicht mehr unterziehen, da die Identifizierungsdaten des Endgeräts 404 bereits in der Liste 503 aufgenommen sind.In the authentication of the second protocol layer come the communication device 404 and the access point 501 Already during the mapping, they will use WLAN authentication (not Open System Authentication as with the third protocol layer authentication). WLAN authentication is performed as specified in the IEEE 802.1x protocol. After a successful authentication becomes the access control function 502 about the event in and takes the terminal authenticated according to the second protocol layer 404 in the access list 503 and begins to forward the packets of the authenticated terminal. As the access control function 502 in the access point device 501 is implemented is the access point 501 capable of locally identifying the terminal's identification data to the access control function 502 to send. The access control list 503 includes identification data of terminals that are authenticated according to the third and the second protocol layer. After authenticating the second protocol layer, the authentication agent must 504 the terminal no longer subject to authentication of the third protocol layer, as the identification data of the terminal 404 already in the list 503 are included.

In einer alternativen Ausführungsform dieser Erfindung ist Dienstdifferenzierung für verschiedene Endgeräteklassen bereitgestellt. 6 zeigt ein Ablaufdiagramm eines Verfahrens gemäß der alternativen Ausführungsform der Erfindung. Bei Schritt 601 bauen ein Zugangspunkt und ein Endgerät, wie etwa ein drahtloses Kommunikationsgerät, eine Verbindung auf und ordnen sich einander zu. Auf Anstoß des Zugangspunkts prüft die Routine dann 602, ob Authentifizierung gemäß der zweiten Protokollschicht oder Open System Authentication betroffen ist. Das Endgerät baut Kommunikationen mit dem Zugangspunkt durch Senden einer Authentifizierungs- oder Zuordnungsanfrage an den Zugangspunkt auf. Die Anfrage umfasst eine Anfrage zur Authentifizierung durch Benutzung des Authentifizierungsverfahrens, das das Endgerät benutzt. Bei Schritt 603 teilt der WLAN-Zugangspunkt WLAN-Clients in verschiedene Klassen ein, vorzugsweise auf Grundlage des Authentifizierungsverfahrens, das vom Client benutzt wird, oder auf Grundlage anderer Parameter, die während der Zuordnungs- und Authentifizierungsphase ausgetauscht werden. Bei Schritt 604 leitet der Zugangspunkt Datenpakete auf der Grundlage der Klassifizierung. Die Client-Klasse wird beim Weiterleiten von Datenpaketen zwischen dem drahtlosen Netz und dem verdrahteten Netz (Verteilungsnetz, DS) berücksichtigt. Beispielsweise kann das Authentifizierungsverfahren, das nach der Zuordnung ausgewählt wird, zum Klassifizieren von Benutzern benutzt werden, sodass Open-System-Clients zu einem anderen Virtual LAN (VLAN) geleitet werden als IEEE 802.1x/802.11i-Clients. Im Fall von 802.1x kann der Zugangspunkt Clients auf Grundlage des Gebietsnamenabschnitts der Benutzeridentität (Network Access Identifier, NAI) ferner differenzieren. Der Gebietsname identifiziert den RADIUS-Server, der den Benutzer authentifiziert. Beispielsweise kann ein korporativer WLAN-Zugangspunkt Clients, die durch den korporativen RADIUS-Server authentifiziert sind, zu einem anderen VLAN leiten als Clients, die durch andere RADIUS-Server authentifiziert sind. Der Einfachheit halber wird das Authentifizierungsverfahren (Open System oder IEEE 802.1x) hier als Beispiel des Parameters benutzt, nach dem der Zugangspunkt drahtlose Endgeräte in verschiedene Klassen einteilt. Es ist für den Fachmann offensichtlich, dass die Erfindung nicht auf Endgerätklassifizierung durch Authentifizierungsverfahren beschränkt ist, und dass es andere Parameter gibt, nach denen der Zugangspunkt Endgeräte in getrennte Klassen aufteilen kann. Der Zugangspunkt kann jeglichen Parameter, den er nach dem Kommunikationsaufbau erfährt, als eine Klassifizierungsgrundlage benutzen. Der Parameter kann die Funktechnologie, Authentifizierung oder Zuordnung oder andere Kommunikationsaufbaubereiche betreffen, wie etwa das Funkfrequenzband, vom Endgerät benutzte Datenübertragungsgeschwindigkeit, den Network Access Identifier oder einen Teil davon oder das Extensible Authentication Protocol (EAP), das bei der IEEE 802.1x-Authentifizierung benutzt wird.In an alternative embodiment of this invention, service differentiation is provided for different terminal classes. 6 shows a flowchart of a method according to the alternative embodiment of the invention. At step 601 An access point and a terminal, such as a wireless communication device, establish a connection and associate with each other. Upon initiation of the access point, the routine then checks 602 whether authentication according to the second protocol layer or Open System Authentication is affected. The terminal establishes communications with the access point by sending an authentication or assignment request to the access point. The request includes a request for authentication by using the authentication method using the terminal. At step 603 The WLAN access point divides WLAN clients into different classes, preferably based on the authentication method used by the client or other parameters exchanged during the mapping and authentication phase. At step 604 The access point routes data packets based on the classification. The client class is taken into account when forwarding data packets between the wireless network and the wired network (distribution network, DS). For example, the authentication method selected after the mapping can be used to classify users so that open system clients are directed to a different Virtual LAN (VLAN) than IEEE 802.1x / 802.11i clients. In the case of 802.1x, the access point may further differentiate clients based on the Network Access Identifier (NAI) portion of the name. The territory name identifies the RADIUS server that authenticates the user. For example, a corporate WLAN access point may direct clients authenticated by the corporate RADIUS server to a different VLAN than clients authenticated by other RADIUS servers. For simplicity, the authentication method (Open System or IEEE 802.1x) is used here as an example of the parameter according to which the access point divides wireless terminals into different classes. It will be apparent to those skilled in the art that the invention is not limited to terminal classification by authentication methods, and that there are other parameters by which the access point may divide terminals into separate classes. The access point can use any parameter that it experiences after the communication setup as a classification basis. The parameter may relate to radio technology, authentication or association, or other communication building areas, such as the radio frequency band, data rate used by the terminal, the Network Access Identifier or any part thereof, or the Extensible Authentication Protocol (EAP) used in IEEE 802.1x authentication becomes.

7 zeigt einen Zugangspunkt gemäß einer alternativen Ausführungsform der Erfindung. Der Zugangspunkt 700 umfasst einen Prozessor 701 und einen Speicher 702 zum Ausführen der betreffenden Operationen und zumindest eine Anwendung 703 zum Ausführen von beispielsweise dem Identifizieren eines Authentifizierungsverfahrens. Der Zugangspunkt 700 umfasst ferner eine Schnittstelle 705 zum Verbinden mit Routern, mit Servern, wie beispielsweise einer Zugangssteuerung oder einem Authentifizierungsserver. Der Zugangspunkt umfasst ferner Identifizierungsmittel 707 zum Identifizieren, ob das Endgerät das erste oder zweite Authentifizierungsverfahren benutzt. Vorzugsweise identifiziert der Zugangspunkt das Authentifizierungsverfahren durch Empfangen einer Nachricht von dem Endgerät, wobei die Nachricht das Authentifizierungsverfahren umfasst, das das Endgerät benutzt. Wenn das Endgerät das erste Authentifizierungsverfahren einsetzt, ist die Nachricht vorzugsweise eine Zuordnungsanfragenachricht gemäß dem IEEE 802.11i-Standard, wobei die Zuordnungsanfragenachricht ein Authentifizierungssuiteelement umfasst, das IEEE 802.1x-Authentifizierung anzeigt. Wenn das Endgerät das zweite Authentifizierungsverfahren einsetzt, ist die Nachricht vorzugsweise eine Authentifizierungsanfragenachricht gemäß dem IEEE 802.11-Standard, wobei die Authentifizierungsanfragenachricht Open System Authentication anzeigt. Das Gerät umfasst ferner Klassifizierungsmittel 704 zum Aufteilen von Endgeräten in verschiedene Klassen auf Grundlage des identifizierten Authentifizierungsverfahrens. Der Zugangspunkt umfasst ferner Weiterleitungsmittel 706 zum Weiterleiten von Datenpaketen des drahtlosen Endgeräts zwischen dem drahtlosen Netz und dem verdrahteten Netz, wobei das Weiterleitungsmittel durch Leiten von Datenpaketen von Endgeräten verschiedener Klassen zu separaten logischen Kanälen berücksichtigt. Die Benutzung verschiedener Virtual LANs für verschiedene Endgeräteklassen ist ein Beispiel dafür, wie die Endgerätklasse beim weiterleiten von Datenpaketen berücksichtigt wird. Nach dem Empfang eines Datenpakets von einem drahtlosen Endgerät erkennt der Zugangspunkt die Endgeräteklasse des sendenden drahtlosen Endgeräts vorzugsweise auf Grundlage des Quell-MAC-Adressfelds in dem Datenpaket und leitet das Datenpaket dann unter Benutzung der VLAN-Identifizierung, die der Endgeräteklasse zugeordnet ist, zu dem drahtlosen Netz weiter, sodass Pakete von Open-System-Clients unter Benutzung einer anderen VLAN-Identifizierung als Pakete von 802.1x-Clients weitergeleitet werden. Zudem erkennt der Zugangspunkt nach dem Empfang eines Unicast-Datenpakets von dem verdrahteten Netz zunächst die Endgeräteklasse des drahtlosen Zielendgeräts, vorzugsweise auf Grundlage des Ziel-MAC-Adressfelds in dem Datenpaket, und verifiziert dann, ob die VLAN-Identifizierung in dem Datenpaket korrekt ist, d.h. wie sie für die erkannte Endgeräteklasse lauten sollte. Der Zugangspunkt leitet das Datenpaket nur an das drahtlose Zielendgerät weiter, wenn das Paket mit der korrekten VLAN-Identifizierung von dem verdrahteten Netz empfangen wurde. Wenn die VLAN-Identifizierung nicht korrekt ist, verwirft der Zugangspunkt das Datenpaket vorzugsweise. Nach dem Empfang eines Multicast- oder Broadcast-Datenpakets von dem verdrahteten Netz kann der Zugangspunkt die Endgeräteklasse eines einzelnen Endgeräts nicht erkennen, da es mehrere Ziele geben kann. In diesem Fall kann der Zugangspunkt die Datenpakete weiterhin gemäß der in der VLAN-Identifizierung angegebenen Endgeräteklasse verarbeiten. Beispielsweise können Multicast- oder Broadcast-Datenframes, die an Open System Clients gerichtet sind, ohne Verschlüsselung oder Unversehrtheitsschutz übertragen werden, während IEEE 802.11i-Paketsicherheit auf Multicast- oder Broadcast-Datenframes angewendet werden kann, die an IEEE 802.1x-Clients gerichtet sind. 7 shows an access point according to an alternative embodiment of the invention. The access point 700 includes a processor 701 and a memory 702 for performing the respective operations and at least one application 703 for performing, for example, identifying an authentication method. The access point 700 also includes an interface 705 for connecting to routers, to servers such as an access control or an authentication server. The access point further comprises identification means 707 for identifying whether the terminal is using the first or second authentication method. Preferably, the access point identifies the authentication method by receiving a message from the terminal, the message comprising the authentication method using the terminal. When the terminal employs the first authentication method, the message is preferably an association request message according to the IEEE 802 .11i standard, wherein the association request message comprises an authentication suite element indicating IEEE 802.1x authentication. When the terminal employs the second authentication method, the message is preferably an authentication request message according to the IEEE 802.11 standard, the authentication request message indicating Open System Authentication. The device further comprises classifying means 704 for splitting terminals into different classes based on the identified authentication method. The access point further comprises forwarding means 706 for forwarding data packets of the wireless terminal between the wireless network and the wired network, the routing means taking into account by routing data packets from terminals of different classes to separate logical channels. The Benut Using different Virtual LANs for different terminal classes is an example of how the terminal class is considered when forwarding data packets. After receiving a data packet from a wireless terminal, the access point preferably recognizes the terminal class of the transmitting wireless terminal based on the source MAC address field in the data packet and then forwards the data packet using the VLAN identifier associated with the terminal class wireless network so that packets from open system clients are forwarded as packets from 802.1x clients using a different VLAN identification. In addition, after receiving a unicast data packet from the wired network, the access point first identifies the terminal class of the destination wireless terminal, preferably based on the destination MAC address field in the data packet, and then verifies that the VLAN identification in the data packet is correct, ie as it should be for the recognized terminal class. The access point only forwards the data packet to the destination wireless terminal if the packet was received with the correct VLAN identification from the wired network. If the VLAN identification is not correct, the access point preferably discards the data packet. After receiving a multicast or broadcast data packet from the wired network, the access point can not recognize the terminal class of a single terminal because there may be multiple destinations. In this case, the access point may continue to process the data packets according to the terminal class specified in the VLAN identification. For example, multicast or broadcast data frames directed to open system clients may be transmitted without encryption or integrity protection, while IEEE 802.11i packet security may be applied to multicast or broadcast data frames directed to IEEE 802.1x clients ,

Alternativ zu VLANs kann der Zugangspunkt die Datenpakete auf Grundlage von IP-Teilnetz oder IP-Adressbereich differenzieren. In diesem Beispiel stellt der Zugangspunkt sicher, dass dem drahtlosen Endgerät eine IP-Adresse von dem IP-Teilnetz oder Bereich zugeordnet ist, der der nach dem Kommunikationsaufbau identifizierten Endgeräteklasse entspricht. Vorzugsweise leitet der Zugangspunkt die DHCP-Pakete, die von dem drahtlosen Endgerät nach der IP-Konfigurationsphase gesendet werden, an einen geeigneten DHCP-Server auf Endgeräteklassengrundlage weiter, sodass dem Endgerät eine Adresse von dem korrekten IP-Teilnetz oder IP-Adressbereich zugeordnet wird. Nach dem Empfang eines Datenpaktes von einem drahtlosen Endgerät erkennt der Zugangspunkt die Endgeräteklasse vorzugsweise auf Grundlage des Quell-MAC-Adressfelds in dem Datenpaket und verifiziert dann, dass das Quell-IP-Adressfeld (oder ein anderes Protokollfeld, das eine IP-Adresse umfasst) in dem empfangenen Datenpaket zum korrekten IP-Teilnetz oder IP-Adressbereich gehört, das/der der erkannten Endgeräteklasse zugeordnet ist. Der Zugangspunkt leitet die Datenpakete nur an das verdrahtete Netz weiter, wenn diese Verifizierung erfolgreich verläuft. Wenn die Verifizierung fehlschlägt, verwirft der Zugangspunkt das Datenpaket. Zudem erkennt der Zugangspunkt nach dem Empfang eines Unicast-Datenpakets von dem verdrahteten Netz zunächst die Endgeräteklasse, vorzugsweise auf Grundlage des Ziel-MAC-Adressfelds in dem Datenpaket, und verifiziert dann, dass das Ziel-IP-Adressfeld in dem Datenpaket zu dem korrekten IP-Teilnetz oder IP-Adressbereich gehört, das/der der erkannten Endgeräteklasse zugeordnet ist. Der Zugangspunkt leitet die Datenpakete nur an das drahtlose Zielendgerät weiter, wenn diese Verifizierung erfolgreich verläuft. Wenn die Verifizierung fehlschlägt, verwirft der Zugangspunkt das Datenpaket. Nach dem Empfang eines Multicast- oder Broadcast-Datenpakets von dem verdrahteten Netz ist der Zugangspunkt weiterhin imstande, eine korrekte Endgeräteklasse aufgrund eines Protokollfelds zu erkennen, das ein IP-Feld umfasst. Unterschiedliche Verarbeitung, wie etwa unterschiedliche Verschlüsselung oder Unversehrtheitsschutz, kann auf Multicast- oder Broadcast-Datenpakete angewendet werden, die an Open System Clients oder IEEE 802.1x-Clients gerichtet sind. Der Einfachheit halber wird die Benutzung von separaten VLANs für verschiedene Endgeräteklassen als Beispiel dafür verwendet, wie der Zugangspunkt die Endgeräteklasse beim Weiterleiten von Datenpaketen zwischen den drahtlosen Endgeräten und dem verdrahteten Netz berücksichtigt. Es ist für den Fachmann offensichtlich, dass die Erfindung nicht auf die Benutzung verschiedener VLANs für jede Endgeräteklasse beschränkt ist, und dass es andere Wege gibt, die Endgeräteklasse beim Weiterleiten von Datenpaketen zu berücksichtigen. Alternativ zu VLANs kann der Zugangspunkt die Endgeräteklasse durch jegliches Verfahren zum Differenzieren von Datenpakete in verschiedene logische Kanäle auf Grundlage der Endgeräteklasse beim Weiterleiten von Datenpaketen zwischen dem drahtlosen Netz und dem verdrahteten Netz berücksichtigen. Ein weiteres Beispiel dieses Verfahrens ist Paket-Tunneling zu verschiedenen Zielen auf Grundlage der Endgeräteklasse. Nach dem Empfang eines Datenpakets von dem drahtlosen Endgerät erkennt der Zugangspunkt die Endgeräteklasse vorzugsweise auf Grundlage des Quell-MAC-Adressfelds in dem empfangenen Paket. Der Zugangspunkt verkapselt dann das empfangene Paket in einem neuen Paket ein. Das Ziel des neuen Datenpakets wird auf Grundlage der Endgeräteklasse gewählt, sodass unterschiedliche Endgeräteklassen zu unterschiedlichen Zielen getunnelt werden. Die Einkapselung ist vorzugsweise IP-Einkapselung, wobei der ursprüngliche MAC-Header beseitigt wird und das resultierende IP-Paket in einem neuen IP-Paket eingekapselt wird. Das IP-Paket wird dann gemäß der neuen IP-Zieladresse weitergeleitet. Entsprechend können von dem verdrahteten Netz empfangene Datenpakete ebenfalls getunnelt werden. Nach dem Empfang eines Datenpakets von dem verdrahteten Netz erkennt der Zugangspunkt die Endgeräteklasse vorzugsweise auf Grundlage der Quell-IP-Adresse im äußeren IP-Header, wenn verschiedene Tunnelanfangspunkte für jede Endgeräteklasse benutzt werden. Der Zugangspunkt entkapselt dann das getunnelte Paket und leitet das resultierende Datenpaket an das drahtlose Zielendgerät weiter.As an alternative to VLANs, the access point can differentiate the data packets based on IP subnet or IP address range. In this example, the access point ensures that the wireless terminal is assigned an IP address from the IP subnet or area corresponding to the terminal class identified after the communication setup. Preferably, the access point forwards the DHCP packets sent by the wireless terminal after the IP configuration phase to a suitable terminal-class based DHCP server such that the terminal is assigned an address from the correct IP subnet or IP address range. After receiving a data packet from a wireless terminal, the access point preferably recognizes the terminal class based on the source MAC address field in the data packet and then verifies that the source IP address field (or other protocol field that includes an IP address) belongs in the received data packet to the correct IP subnet or IP address range associated with the recognized terminal class. The access point only forwards the data packets to the wired network if this verification succeeds. If the verification fails, the access point discards the data packet. In addition, after receiving a unicast data packet from the wired network, the access point first recognizes the terminal class, preferably based on the destination MAC address field in the data packet, and then verifies that the destination IP address field in the data packet is the correct IP Subnetwork or IP address range associated with the recognized terminal class. The access point only forwards the data packets to the destination wireless terminal if this verification succeeds. If the verification fails, the access point discards the data packet. After receiving a multicast or broadcast data packet from the wired network, the access point is still able to detect a correct terminal class based on a protocol field that includes an IP field. Different processing, such as differential encryption or integrity protection, may be applied to multicast or broadcast data packets directed to Open System Clients or IEEE 802.1x clients. For the sake of simplicity, the use of separate VLANs for different terminal classes will be used as an example of how the access point considers the terminal class in forwarding data packets between the wireless terminals and the wired network. It will be apparent to those skilled in the art that the invention is not limited to the use of different VLANs for each class of terminal, and that there are other ways to accommodate the terminal class in forwarding data packets. As an alternative to VLANs, the access point may consider the terminal class by any method of differentiating data packets into different logical channels based on the terminal class when forwarding data packets between the wireless network and the wired network. Another example of this method is packet tunneling to various destinations based on the terminal class. After receiving a data packet from the wireless terminal, the access point preferably recognizes the terminal class based on the source MAC address field in the received packet. The access point then encapsulates the received packet in a new packet. The destination of the new data packet is chosen based on the terminal class, so that different terminal classes are tunnelled to different destinations. The encapsulation is preferably IP encapsulation, eliminating the original MAC header and the resulting IP packet is encapsulated in a new IP packet. The IP packet is then forwarded according to the new IP destination address. Accordingly, data packets received by the wired network can also be tunneled. After receiving a data packet from the wired network, the access point preferably recognizes the terminal class based on the source IP address in the outer IP header when using different tunnel origins for each terminal class. The access point then decapsulates the tunneled packet and forwards the resulting data packet to the destination wireless terminal.

8 zeigt ein System gemäß einer alternativen Ausführungsform der Erfindung. Im Folgenden ist die Erfindung beispielhaft in einer Umgebung dargestellt, die ein Endgerät 303, das sich unter Benutzung des Authentifizierungsverfahrens der dritten Protokollschicht, wie einer Open System Authentication, authentifizieren kann, und ein Endgerät 404 umfasst, das sich unter Benutzung des Authentifizierungsverfahrens gemäß dem IEEE 802.1x-Standard authentifizieren kann, wie etwa ein drahtloses WLAN-Endgerät, das den IEEE 802.11i-Standard benutzt. Die Endgeräte sind imstande, eine Verbindung mit einem Kommunikationsnetz aufzubauen, das einen Zugangspunkt 801 zum Vorsehen einer drahtlosen Verbindung von dem Kommunikationsgerät 303, 404 zum Netz und zum Weiterleiten von Authentifizierungsinformation zwischen dem Endgerät 404 und einem Authentifizierungsserver 806 umfasst. Das System umfasst ferner eine Zugangssteuerung 802, die eine logische Zugangssteuerungsfunktion zum Weiterleiten von Datenpaketen des durch Open System Authentication authentifizierten Endgeräts und Blockieren von Datenpaketen von nicht authentifizierten Endgeräten und eine Liste 803 von authentifizierten Open-System-Endgeräten umfasst. Die Zugangssteuerung 802 leitet Authentifizierungsinformation zwischen dem Endgerät 303 und dem Authentifizierungsserver 806 weiter. Das System umfasst ferner Server, wie etwa einen DHCP-Server 804 zum Bereitstellen einer IP-Adresse für das Endgerät 303, einen Accounting-Server 805 zum Abrechnen der an das und von dem Endgerät übertragenen Datenmenge und einen Authentifizierungsserver 806 zum Bereitstellen eines Authentifizierungsdiensts für einen Authentikator, wobei der Authentikator eines der folgenden ist: der Zugangspunkt 801 und die Zugangssteuerung 802, durch Bestimmen, ob das Endgerät zum Zugriff auf die vom Authentikator bereitgestellten Dienste autorisiert ist, und einen oder mehrere Router 506 zum Routen von Datenpaketen der Endgeräte 303, 404. 8th shows a system according to an alternative embodiment of the invention. In the following, the invention is shown by way of example in an environment which is a terminal 303 that can authenticate using the authentication method of the third protocol layer, such as Open System Authentication, and a terminal 404 which can authenticate using the authentication method according to the IEEE 802.1x standard, such as a wireless WLAN terminal using the IEEE 802.11i standard. The terminals are capable of establishing a connection to a communications network having an access point 801 for providing a wireless connection from the communication device 303 . 404 to the network and to forward authentication information between the terminal 404 and an authentication server 806 includes. The system also includes access control 802 comprising a logical access control function for forwarding data packets of the terminal authenticated by Open System Authentication and blocking data packets from unauthenticated terminals and a list 803 of authenticated open system terminals. The access control 802 routes authentication information between the terminal 303 and the authentication server 806 further. The system further includes servers, such as a DHCP server 804 for providing an IP address for the terminal 303 , an accounting server 805 for billing the amount of data transmitted to and from the terminal and an authentication server 806 for providing an authentication service for an authenticator, wherein the authenticator is one of the following: the access point 801 and the access control 802 by determining whether the terminal is authorized to access the services provided by the authenticator and one or more routers 506 to route data packets of the terminals 303 . 404 ,

Dieses Beispielsystem ist derart angeordnet, dass Netzzugangssteuerung für das Open-System-Endgerät 303 im Zugangssteuerungsgerät 802 implementiert ist und Netzzugangssteuerung für das IEEE 802.1x-Endgerät 404 im Zugangspunktgerät 801 implementiert ist. Die Anordnung basiert auf Datenpaketklassifizierung im Zugangspunktgerät 801 in separate logische Kanäle auf Grundlage des Endgerätauthentifizierungsverfahrens.This example system is arranged such that network access control for the open system terminal 303 in the access control device 802 is implemented and network access control for the IEEE 802.1x terminal 404 in the access point device 801 is implemented. The arrangement is based on data packet classification in the access point device 801 into separate logical channels based on the terminal authentication method.

Wenn ein Endgerät 303, das das Open-System-Authentication-Verfahren benutzt, Verbindungen mit dem Zugangspunkt aufbaut, weist der Zugangspunkt 801 dem Endgerät 303 eine Endgeräteklasse zu, für die die Zugangssteuerung 802 Zugangssteuerung auf der dritten Protokollschicht einsetzt. Durch die Benutzung von Virtual LANs ist die Zugangssteuerung 802 zum Durchführen von Zugangssteuerung von Datenpaketen, die mit einer VLAN-Identifizierung empfangen werden, der Open-System-Endgeräten zugeordnet ist, konfiguriert. Wenn separate IP-Teilnetze oder IP-Adressbereiche zum Trennen von Datenpaketen in logische Kanäle benutzt werden, ist die Zugangssteuerung 802 zum Durchführen von Zugangssteuerung von Datenpaketen von Endgeräten 303, die eine IP-Adresse aus dem IP-Teilnetz oder IP-Adressbereich von Open-System-Endgeräten benutzen, konfiguriert.If a terminal 303 using the open system authentication method, establishing connections with the access point, points the access point 801 the terminal 303 a terminal class for which the access control 802 Access control on the third protocol layer. By using Virtual LANs is the access control 802 configured to perform admission control of data packets received with a VLAN identifier associated with open system terminals. When separate IP subnets or IP address ranges are used to separate data packets into logical channels, access control is 802 for performing access control of data packets from terminals 303 configured to use an IP address from the IP subnet or IP address range of open system terminals.

Wenn ein Endgerät 404 Verbindungen mit dem Zugangspunkt 801 aufbaut und sich mit dem IEEE 802.1x-Authentifizierungsverfahren authentifiziert, weist der Zugangspunkt 801 dem Endgerät 404 eine Endgeräteklasse zu, für die die Zugangssteuerung 802 keine Zugangssteuerung einsetzt. Mit Virtual LANs ist es möglich, die Zugangssteuerung 802 zum Routen von Datenpaketen mit der dem IEEE 802.1x-Endgerät 404 zugeordneten VLAN-Identifizierung ohne Durchführung jeglicher Zugangssteuerung zu konfigurieren. Alternativ kann das Virtual LAN, das den IEEE 802.1x-Endgeräten 404 zugeordnet ist, ein anderes Routergerät 807 einsetzen, mit dem die Datenpakete von IEEE 802.1x-Endgeräten geroutet werden, sodass die Datenpakete die Zugangssteuerung nicht durchlaufen. Wenn separate IP-Teilnetze oder IP-Adressbereiche zum Trennen von Datenpaketen in logische Kanäle benutzt werden, kann die Zugangssteuerung 802 zum Routen von Datenpaketen der Endgeräte 404, die eine IP-Adresse aus dem IP-Teilnetz oder IP-Adressbereich von IEEE 802.1x-Endgeräten benutzen, ohne Durchführung von Zugangssteuerung konfiguriert sein.If a terminal 404 Connections to the access point 801 and authenticates with the IEEE 802.1x authentication mechanism, the access point points out 801 the terminal 404 a terminal class for which the access control 802 does not use access control. With Virtual LANs it is possible to access control 802 for routing data packets with the IEEE 802.1x terminal 404 configured VLAN identification without performing any access control. Alternatively, the Virtual LAN, which is the IEEE 802.1x terminals 404 is assigned to another router device 807 that routes the data packets from IEEE 802.1x terminals so that the data packets do not go through the access control. If separate IP subnets or IP address ranges are used to separate data packets into logical channels, access control 802 for routing data packets of the terminals 404 that use an IP address from the IP subnet or IP address range of IEEE 802.1x terminals without being configured to perform access control.

Die alternative Ausführungsform der Erfindung gemäß 6 bis 8 ermöglicht es, dasselbe WLAN-Funknetz für mehrere Zwecke zu benutzen. Dasselbe Funknetz kann von überkommenen WLAN-Clients, wie OWLAN Release 1-Clients, die Open System Authentication benutzen, und neue WLAN-Clients versorgen, die die neuen IEEE-Standards benutzen, wie OWLAN Release 2-Clients, die IEEE 802.1x-Authentifizierung benutzen. Eine extreme Zugangspunktimplementierung dieser Erfindung könnte wie zwei separate Zugangspunkte für die drahtlosen Clients aussehen. Einer der „virtuellen" Zugangspunkte würde Open System-Zuordnungen ermöglichen und der andere Zugangspunkt 802.1x-Zuordnungen. Eine einfachere Implementierung würde wie ein einzelner Zugangspunkt aussehen, jedoch Open System-Zuordnung als auch 802.1x-Zuordnung unterstützen.The alternative embodiment of the invention according to 6 to 8th allows to use the same wireless network for multiple purposes. The same wireless network can serve legacy WLAN clients, such as OWLAN Release 1 clients using Open System Authentication, and new WLAN clients using the new IEEE standards, such as OWLAN Release 2 clients, IEEE 802.1x authentication to use. An extreme access point implementation of this invention could look like two separate access points for the wireless clients. One of the "virtual" access points would allow open system mappings and the other access point would allow 802.1x mappings - a simpler implementation would look like a single access point but support open system mapping as well as 802.1x mapping.

Eine andere Aufgabe für die alternative Ausführungsform sind geschützte Netze, die derzeit auf Virtual Private Network- (VPN-) Technologie aufgebaut werden, wie etwa korporative Netze. Ein Zugangspunkt, der diese Erfindung implementiert, wäre imstande, Open System Clients zum bestehenden LAN zu routen, das mit einem VPN-Gateway von dem geschützten Netz getrennt ist. Open System Clients müssen daher eine VPN-Verbindung zum Zugreifen auf das geschützte Netz aufbauen. Der Zugangspunkt könnte IEEE 802.11i-Clients zu einem anderen Virtual LAN routen, das direkte Konnektivität zu dem geschützten Netz aufweist. Damit stellt diese Erfindung einen verwalteten Einsatzweg von der derzeitigen korporativen WLAN-Lösung zur neuen IEEE 802.11i-Lösung bereit.A another task for the alternative embodiment are protected Networks currently on Virtual Private Network (VPN) technology be built, such as corporate networks. An access point, implementing this invention would be able to open system clients route to the existing LAN using a VPN gateway from the protected network is disconnected. Open system clients therefore need a VPN connection to access the protected Build network. The access point could be IEEE 802.11i clients too Another Virtual LAN route, the direct connectivity to the protected Net has. Thus, this invention provides a managed deployment path from the current corporate WLAN solution to the new IEEE 802.11i solution.

In einem anderen Beispielsystem, das die alternative Ausführungsform dieser Erfindung einsetzt, kann die Endgeräteklassifizierung im Zugangspunktgerät zum Leiten von Datenpaketen von Endgeräten, die Open System Authentication benutzen, an ein nicht gesteuertes Netz, bei dem keine Zugangssteuerung durchgeführt wird, benutzt sein. Dieses nicht gesteuerte Netz kann ein lokales Intranet oder ein anderes Netz mit begrenzten und freien Ressourcen sein, die jedem zur Verfügung stehen. In diesem Beispiel werden Datenpakete von Endgeräten, die IEEE 802.1x-Authentifizierung benutzen, an ein gesteuertes Netz, wie etwa das globale Internet, geleitet. Das gesteuerte Netz ist derart, dass es nur Endgeräten zur Verfügung steht, die sich unter Benutzung des IEEE 802.1x-Authentifizierungsverfahrens authentifizieren.In another example system, which is the alternative embodiment of this invention, the terminal classification in the access point device can be used for routing of data packets from terminals that Open System Authentication to an uncontrolled network, in which no access control is performed, be used. This non-controlled network can be a local intranet or another Network with limited and free resources available to everyone. In this example, data packets from terminals are IEEE 802.1x authentication to a controlled network, such as the global Internet, directed. The controlled network is such that it only terminals for disposal stands out using the IEEE 802.1x authentication mechanism authenticate.

Vorteile der oben beschriebenen alternativen Ausführungsform sind folgende: ein einzelnes WLAN- Funknetz ist imstande, sowohl überkommene als auch neue WLAN-Clients zu unterstützen, überkommene und neue WLAN-Clients können verschiedene IP-Teilnetze und verschiedene Dienste benutzen, in drahtlosen Stationen ist keine Unterstützung erforderlich.advantages The above-described alternative embodiment is as follows single wireless network is able to both traditional and Also, to support new wireless clients, traditional and new wireless clients can have different Use IP subnets and various services in wireless stations No support is required.

Die Erfindung ist nicht auf Open System Authentication und Authentifizierung gemäß dem IEEE 802.11i-Protokoll oder dem IEEE.8021x-Protokoll beschränkt. Die erste Ausführungsform der Erfindung kann in jeglichem System benutzt sein, in dem ein Endgerät unter Benutzung eines Zugangspunkts oder Authentifizierungsagenten als Authentikator auf ein Netz zugreifen kann. Die zweite Ausführungsform der Erfindung kann in jeglichem System benutzt sein, in dem es vorteilhaft ist, verschiedene Endgeräteklassen mit verschiedenen Diensten zu versehen, wobei die Endgeräteklasse auf Grundlage eines Parameters des Verbindungsaufbaus identifiziert wird.The Invention is not open system authentication and authentication according to the IEEE 802.11i protocol or the IEEE.8021x protocol. The first embodiment The invention can be used in any system in which a terminal under Using an access point or authentication agent as Authenticator can access a network. The second embodiment of the Invention can be used in any system in which it is advantageous is, different terminal classes with different services, the terminal class identified based on a parameter of the connection establishment becomes.

Die vorstehende Offenbarung stellt die Implementierung der Erfindung und ihrer Ausführungsformen mithilfe von Beispielen dar. Es ist für den Fachmann offensichtlich, dass die Erfindung nicht auf die Einzelheiten der oben beschriebenen Ausführungsformen beschränkt ist, und dass es außerdem andere Implementierungsweisen der Erfindung gibt, ohne von den Kennzeichen der Erfindung abzuweichen. Die obigen Ausführungsformen sollten daher als veranschaulichend und nicht einschränkend betrachtet werden. Die Implementierungs- und Nutzungsmöglichkeiten der Erfindung sind deshalb nur durch die beiliegenden Ansprüche beschränkt, und daher gehören die verschiedenen alternativen Implementierungen der Erfindung, einschließlich äquivalenter Implementierungen, die in den Ansprüchen definiert sind, ebenfalls zum Anwendungsbereich der Erfindung.The The above disclosure represents the implementation of the invention and their embodiments by way of examples. It is obvious to a person skilled in the art that the invention is not limited to the details of those described above embodiments limited is, and that there are others as well Implementations of the invention gives without departing from the characteristics to deviate from the invention. The above embodiments should therefore be considered illustrative and not restrictive. The Implementation and usage options Therefore, the invention is limited only by the appended claims, and therefore belong the various alternative implementations of the invention, including equivalent Implementations defined in the claims are also to the scope of the invention.

Claims (18)

Verfahren zur Zugangssteuerung eines drahtlosen Endgeräts (303, 404) in einem Kommunikationsnetz, das Kommunikationsnetz umfassend einen Zugangspunkt (501) zum Aufbauen einer Kommunikationsverbindung mit dem drahtlosen Endgerät, einen Authentifizierungsserver (505) zum Vorsehen eines Authentifizierungsdiensts für das drahtlose Endgerät zur Authentifizierung für das Kommunikationsnetz, einen Authentifizierungsagenten (504) zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver und eine Zugangssteuerung zum Weiterleiten von Datenpaketen von authentifizierten, drahtlosen Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten, drahtlosen Endgeräten, wobei eine Zugangssteuerungsfunktion (502) eine Zugangssteuerungsliste (503) umfasst, die eine Liste von authentifizierten, drahtlosen Endgeräten ist, wobei das drahtlose Endgerät dazu konfiguriert ist, jegliche der folgenden Authentifizierungsverfahren zu benutzen, um sich für das Kommunikationsnetz zu authentifizieren: ein erstes Authentifizierungsverfahren, bei dem der Zugangspunkt (501) Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver (505) weiterleitet, ein zweites Authentifizierungsverfahren, bei dem der Authentifizierungsagent (504) Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver (505) weiterleitet, dadurch gekennzeichnet, dass das Verfahren folgende Schritte umfasst: Identifizieren (101) am Zugangspunkt (501), ob das drahtlose Endgerät das erste Authentifizierungsverfahren oder das zweite Authentifizierungsverfahren benutzt, folgende Schritte ausführend, wenn sich das drahtlose Endgerät unter Benutzung des ersten Authentifizierungsverfahrens authentifiziert (102): Weiterleiten (108) von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver durch den Zugangspunkt, Senden (106) von Identifizierungsdaten des drahtlosen Endgeräts in Reaktion auf erfolgreiche Authentifizierung an die Zugangssteuerungsliste durch den Zugangspunkt und Hinzufügen (107) der Identifizierungsdaten des drahtlosen Endgeräts zur Zugangssteuerungsliste und Weiterleiten von Datenpaketen des in die Zugangssteuerungsliste aufgenommenen, drahtlosen Endgeräts durch die Zugangssteuerung und folgende Schritte ausführend, wenn sich das drahtlose Endgerät unter Benutzung des zweiten Authentifizierungsverfahrens authentifiziert (103): Weiterleiten (105) von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsagenten durch den Zugangspunkt, Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver durch den Authentifizierungsagenten, Senden (106) der Identifizierungsdaten des drahtlosen Endgeräts in Reaktion auf erfolgreiche Authentifizierung an die Zugangssteuerungsliste durch den Authentifizierungsagenten und Hinzufügen (107) der Identifizierungsdaten des drahtlosen Endgeräts zu der Zugangssteuerungsliste und Weiterleiten von Datenpaketen des in die Zugangssteuerungsliste aufgenommenen, drahtlosen Endgeräts durch die Zugangssteuerung.Method for access control of a wireless terminal ( 303 . 404 ) in a communication network, the communication network comprising an access point ( 501 ) for establishing a communication connection with the wireless terminal, an authentication server ( 505 ) for providing an authentication service for the wireless terminal for authentication for the communication network, an authentication agent ( 504 ) for forwarding authentication information between the wireless terminal and the authentication server and an access controller for forwarding data packets from authenticated wireless terminals and blocking data packets from unauthenticated wireless terminals, wherein an access control function ( 502 ) an access control list ( 503 ), which is a list of authenticated wireless terminals, wherein the wireless terminal is configured to use any of the following authentication methods to authenticate to the communication network: a first authentication method in which the access point ( 501 ) Authentication information between the wireless terminal and the authentication server ( 505 ), a second authentication method in which the authentication agent ( 504 ) Authentication information between the wireless terminal and the authentication server ( 505 ), characterized in that the method comprises the steps of: identifying ( 101 ) at the access point ( 501 ), whether the wireless terminal is using the first authentication method or the second authentication method, performing the following steps when the wireless terminal authenticates using the first authentication method (102): forwarding ( 108 ) of authentication information between the wireless terminal and the authentication server through the access point, sending ( 106 ) identification data of the wireless terminal in response to successful authentication to the access control list by the access point and adding ( 107 ) of the wireless terminal's identification data to the access control list and forwarding data packets of the wireless terminal accommodated in the access control list by the access controller and performing the following steps when the wireless terminal authenticates using the second authentication method ( 103 ): Hand off ( 105 ) authentication information between the wireless terminal and the authentication agent by the access point, relaying authentication information between the wireless terminal and the authentication server by the authentication agent, transmitting ( 106 ) the authentication data of the wireless terminal in response to successful authentication to the access control list by the authentication agent and adding ( 107 ) of the identification data of the wireless terminal to the access control list and forwarding data packets of the wireless access terminal included in the access control list by the access control. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Zugangssteuerungsfunktion (502, 503) als Teil des Zugangspunkts (501) implementiert ist.Method according to claim 1, characterized in that the access control function ( 502 . 503 ) as part of the access point ( 501 ) is implemented. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Zugangssteuerungsfunktion (502, 503) als Teil des Authentifizierungsagenten (504) implementiert ist.Method according to claim 1, characterized in that the access control function ( 502 . 503 ) as part of the authentication agent ( 504 ) is implemented. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Zugangssteuerungsfunktion (502, 503) in einem Gerät implementiert ist, das vom Zugangspunkt und vom Authentifizierungsagenten getrennt ist.Method according to claim 1, characterized in that the access control function ( 502 . 503 ) is implemented in a device separate from the access point and the authentication agent. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Identifizierungsdaten zumindest eines der folgenden umfassen: eine IP-Adresse und eine MAC-Adresse des drahtlosen Endgeräts.Method according to claim 1, characterized in that the identification data comprise at least one of the following: an IP address and a MAC address of the wireless terminal. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das erste Authentifizierungsverfahren gemäß dem IEEE 802.1x-Protokoll ausgeführt wird.Method according to claim 1, characterized in that that the first authentication method according to the IEEE 802.1x protocol accomplished becomes. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass das erste Authentifizierungsverfahren gemäß dem IEEE 802.11i-Protokoll ausgeführt wird.Method according to Claim 6, characterized that the first authentication method according to the IEEE 802.11i protocol accomplished becomes. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das zweite Authentifizierungsverfahren über ein Internetprotokoll ausgeführt wird.Method according to claim 1, characterized in that that the second authentication method is performed via an internet protocol. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass das zweite Authentifizierungsverfahren gemäß einem Schlüsselaustausch-Internetprotokoll oder einem Hypertexttransfer-Internetprotokoll ausgeführt wird.Method according to claim 8, characterized in that that the second authentication method according to a key exchange Internet protocol or a hypertext transfer Internet protocol. Verfahren nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, dass der Zugangspunkt das Authentifizierungsverfahren durch Empfangen einer Zuordnungsanfragenachricht von dem drahtlosen Endgerät identifiziert.Method according to one of claims 6 to 9, characterized that the access point the authentication method by receiving a Assignment request message identified by the wireless terminal. Verfahren nach Anspruch 10, dadurch gekennzeichnet, dass die Zuordnungsanfragenachricht ein Authentifizierungssuiteelement umfasst, wobei das Authentifizierungssuiteelement ferner die Information des Authentifizierungsverfahrens umfasst, das das Gerät benutzt.Method according to claim 10, characterized in that the association request message is an authentication suite element wherein the authentication suite element further comprises the information of the authentication method using the device. Verfahren nach einem der Ansprüche 2 bis 11, dadurch gekennzeichnet, dass das Verfahren ferner das Erneuern der Authentifizierung nach einem Zeitraum umfasst.Method according to one of claims 2 to 11, characterized that the method further renewing the authentication after a period. Zugangspunkt (501) zum Aufbauen einer Kommunikationsverbindung mit einem drahtlosen Endgerät in einem Kommunikationsnetz, das Kommunikationsnetz umfassend: einen Authentifizierungsserver (505) zum Vorsehen eines Authentifizierungsdiensts für das drahtlose Endgerät zur Authentifizierung für das Kommunikationsnetz, einen Authentifizierungsagenten (504) zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver und eine Zugangssteuerung zum Weiterleiten von Datenpaketen von authentifizierten, drahtlosen Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten, drahtlosen Datenpaketen, wobei eine Zugangssteuerungsfunktion (502, 503) eine Zugangssteuerungsliste (503) umfasst, die eine Liste von authentifizierten, drahtlosen Endgeräten ist, dadurch gekennzeichnet, dass der Zugangspunkt dazu konfiguriert ist zu akzeptieren, dass das drahtlose Endgeräte eines der folgenden Authentifizierungsverfahren benutzt, um sich für das Kommunikationsnetz zu authentifizieren: ein erstes Authentifizierungsverfahren, bei dem der Zugangspunkt zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver konfiguriert ist, ein zweites Authentifizierungsverfahren, bei dem der Authentifizierungsagent zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und einem Authentifizierungsagenten konfiguriert ist, wobei der Zugangspunkt folgendes umfasst: Identifizierungsmittel (207) zum Identifizieren, ob das drahtlose Endgerät das erste Authentifizierungsverfahren oder das zweite Authentifizierungsverfahren benutzt, erste Weiterleitungsmittel (201, 205, 206) zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsserver als Reaktion auf eine Situation, in der identifiziert wurde, dass das drahtlose Endgerät das erste Authentifizierungsverfahren benutzt hat, erste Sendemittel (201, 205) zum Senden von Identifizierungsdaten des drahtlosen Endgeräts als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem ersten Authentifizierungsverfahren an die Zugangssteuerungsliste und zweite Weiterleitungsmittel (201, 205, 206) zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät und dem Authentifizierungsagenten als Reaktion auf eine Situation, in der identifiziert wurde, dass das drahtlose Endgerät das zweite Authentifizierungsverfahren benutzt hat, und zweite Sendemittel (201, 205) zum Senden von Identifizierungsdaten des drahtlosen Endgeräts als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem zweiten Authentifizierungsverfahren an die Zugangssteuerungsliste.Access point ( 501 ) for establishing a communication connection with a wireless terminal in a communication network, the communication network comprising: an authentication server ( 505 ) for providing an authentication service for the wireless terminal for authentication for the communication network, an authentication agent ( 504 for passing authentication information between the wireless terminal and the authentication server and an access controller for forwarding data packets from authenticated wireless terminals and blocking data packets from unauthenticated wireless data packets, wherein an access control function ( 502 . 503 ) an access control list ( 503 ), which is a list of authenticated wireless terminals, characterized in that the access point is configured to accept that the wireless terminal uses one of the following authentication methods to authenticate to the communication network: a first authentication method, wherein the access point is configured for forwarding authentication information between the wireless terminal and the authentication server, a second authentication method, wherein the authentication agent is configured to forward authentication information between the wireless terminal and an authentication agent, the access point comprising: identification means ( 207 ) for identifying whether the wireless terminal is using the first authentication method or the second authentication method, first forwarding means ( 201 . 205 . 206 ) for forwarding authentication information between the wireless terminal and the authentication server in response to a situation in which it has been identified that the wireless terminal has used the first authentication method, first transmission means ( 201 . 205 ) for transmitting identification data of the wireless terminal in response to a successful authentication of the wireless terminal according to the first authentication method to the access control list and second forwarding means ( 201 . 205 . 206 ) for forwarding authentication information between the wireless terminal and the authentication agent in response to a situation in which it has been identified that the wireless terminal has used the second authentication method, and second transmission means ( 201 . 205 ) for transmitting identification data of the wireless terminal in response to a successful authentication of the wireless terminal according to the second authentication method to the access control list. Zugangspunkt nach Anspruch 13, dadurch gekennzeichnet, dass die Identifizierungsmittel zum Identifizieren des Authentifizierungsverfahrens durch Empfangen einer Zuordnungsanfragenachricht von dem drahtlosen Endgerät angeordnet sind.Access point according to claim 13, characterized in that in that the identification means for identifying the authentication method by receiving a mapping request message from the wireless terminal are arranged. Zugangspunkt nach Anspruch 14, dadurch gekennzeichnet, dass die Identifizierungsmittel zum Erkennen eines Authentifizierungssuiteelements aus der Zuordnungsanfragenachricht angeordnet sind, wobei das Authentifizierungssuiteelement Information des Authentifizierungsverfahrens umfasst, das das drahtlose Endgerät benutzt.Access point according to claim 14, characterized in that the identification means are for recognizing an authentication suite element from the association request message, wherein the authentication suite element Information of the authentication method that includes the wireless terminal used. Zugangspunkt nach Anspruch 13, dadurch gekennzeichnet, dass der Zugangspunkt Erkennungsmittel umfasst, die dazu angeordnet sind, die erfolgreiche Authentifizierung des drahtlosen Endgeräts, das das erste Authentifizierungsverfahren benutzt, durch Empfangen einer Nachricht vom Authentifizierungsserver zu erkennen.Access point according to claim 13, characterized in that the access point comprises detection means arranged thereon are the successful authentication of the wireless terminal, the uses the first authentication method by receiving a Detect message from the authentication server. Zugangspunkt nach Anspruch 13, dadurch gekennzeichnet, dass der Zugangspunkt Erkennungsmittel umfasst, die dazu angeordnet sind, die erfolgreiche Authentifizierung des drahtlosen Endgeräts, das das zweite Authentifizierungsverfahren benutzt, durch Empfangen einer Nachricht von einem der folgenden zu erkennen: dem Authentifizierungsagenten oder dem Authentifizierungsserver.Access point according to claim 13, characterized in that the access point comprises detection means arranged thereon are the successful authentication of the wireless terminal, the uses the second authentication method, by receiving a message from one of the following: the authentication agent or the authentication server. System zur Zugangssteuerung eines drahtlosen Endgeräts (303, 404) in einem Kommunikationsnetz, das Kommunikationsnetz umfassend: einen Zugangspunkt (501) zum Aufbauen einer Kommunikationsverbindung mit dem drahtlosen Endgerät, einen Authentifizierungsserver (505) zum Vorsehen eines Authentifizierungsdiensts für das drahtlose Endgerät (303, 404) zur Authentifizierung für das Kommunikationsnetz, einen Authentifizierungsagenten (504) zum Weiterleiten von Authentifizierungsinformation zwischen dem drahtlosen Endgerät (303) und dem Authentifizierungsserver (505) und eine Zugangssteuerung (502) zum Weiterleiten von Datenpaketen von authentifizierten, drahtlosen Endgeräten und Blockieren von Datenpaketen von nicht authentifizierten, drahtlosen Datenpaketen, wobei eine Zugangssteuerungsfunktion eine Zugangssteuerungsliste (503) umfasst, die eine Liste von authentifizierten, drahtlosen Endgeräten ist, wobei das drahtlose Endgerät (303, 404) dazu konfiguriert ist, eines der folgenden Authentifizierungsverfahren zu benutzen, um sich für das Kommunikationsnetz zu authentifizieren: ein erstes Authentifizierungsverfahren, bei dem der Zugangspunkt (501) Authentifizierungsinformation zwischen dem drahtlosen Endgerät (404) und dem Authentifizierungsserver (505) weiterleitet, ein zweites Authentifizierungsverfahren, bei dem der Authentifizierungsagent (504) Authentifizierungsinformation zwischen dem drahtlosen Endgerät (303) und dem Authentifizierungsserver (505) weiterleitet, dadurch gekennzeichnet, dass das System folgendes umfasst: Identifizierungsmittel (207) zum Identifizieren am Zugangspunkt (501), ob das drahtlose Endgerät (303, 404) das erste Authentifizierungsverfahren oder das zweite Authentifizierungsverfahren benutzt, erste Weiterleitungsmittel zum Weiterleiten am Zugangspunkt (501) von Authentifizierungsinformation des ersten Authentifizierungsverfahrens zwischen dem drahtlosen Endgerät (404) und dem Authentifizierungsserver (505), zweite Weiterleitungsmittel zum Weiterleiten am Zugangspunkt (501) von Authentifizierungsinformation des zweiten Authentifizierungsverfahrens zwischen dem drahtlosen Endgerät (303) und dem Authentifizierungsagenten (504), dritte Weiterleitungsmittel am Authentifizierungsagenten (504) zum Weiterleiten von Authentifizierungsinformation des zweiten Authentifizierungsverfahrens zwischen dem Zugangspunkt (501) und dem Authentifizierungsserver (505), erste Sendemittel zum Senden vom Zugangspunkt (501) von Identifizierungsdaten des drahtlosen Endgeräts (404) als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem ersten Authentifizierungsverfahren an die Zugangssteuerungsliste (503), zweite Sendemittel zum Senden vom Authentifizierungsagenten (504) der Identifizierungsdaten des drahtlosen Endgeräts (303) als Reaktion auf eine erfolgreiche Authentifizierung des drahtlosen Endgeräts gemäß dem zweiten Authentifizierungsverfahren an die Zugangssteuerungsliste (503) und Weiterleitungsmittel an der Zugangssteuerungsfunktion (502) zum Weiterleiten von Datenpaketen des in die Zugangssteuerungsliste aufgenommenen, drahtlosen Endgeräts (303, 404).System for access control of a wireless terminal ( 303 . 404 ) in a communication network, the communication network comprising: an access point ( 501 ) for establishing a communication connection with the wireless terminal, an authentication server ( 505 ) for providing an authentication service for the wireless terminal ( 303 . 404 ) for authentication for the communication network, an authentication agent ( 504 ) for forwarding authentication information between the wireless terminal ( 303 ) and the authentication server ( 505 ) and an access control ( 502 ) for forwarding data packets from authenticated wireless terminals and blocking data packets from unauthenticated wireless data packets, an access control function comprising an access control list ( 503 ), which is a list of authenticated wireless terminals, wherein the wireless terminal ( 303 . 404 ) is configured to use one of the following authentication methods to authenticate itself to the communications network: a first authentication method in which the access point ( 501 ) Authentication information between the wireless terminal ( 404 ) and the authentication server ( 505 ), a second authentication method in which the authentication agent ( 504 ) Authentication information between the wireless terminal ( 303 ) and the authentication server ( 505 ), characterized in that the system comprises: identification means ( 207 ) for identifying at the access point ( 501 ), whether the wireless terminal ( 303 . 404 ) uses the first authentication method or the second authentication method, first forwarding means for forwarding at the access point ( 501 ) of authentication information of the first authentication method between the wireless terminal ( 404 ) and the authentication server ( 505 ), second forwarding means for forwarding at the access point ( 501 ) of authentication information of the second authentication method between the wireless terminal ( 303 ) and the authentication agent ( 504 ), third forwarding means at the authentication agent ( 504 ) for forwarding authentication information of the second authentication method between the access point ( 501 ) and the authentication server ( 505 ) first transmission means for transmitting from the access point ( 501 ) of identification data of the wireless terminal ( 404 in response to a successful authentication of the wireless terminal according to the first authentication method to the access control list ( 503 ), second sending means for sending by the authentication agent ( 504 ) the identification data of the wireless terminal ( 303 ) in response to a successful authentication of the wireless terminal according to the second authentication method to the access control list ( 503 ) and forwarding means at the access control function ( 502 ) for forwarding data packets of the wireless terminal (included in the access control list) ( 303 . 404 ).
DE60215978T 2002-01-18 2002-01-18 Method and device for access control of a mobile terminal in a communication network Expired - Lifetime DE60215978T2 (en)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
EP04018185A EP1523129B1 (en) 2002-01-18 2002-01-18 Method and apparatus for access control of a wireless terminal device in a communications network

Publications (2)

Publication Number Publication Date
DE60215978D1 DE60215978D1 (en) 2006-12-21
DE60215978T2 true DE60215978T2 (en) 2007-07-05

Family

ID=38136097

Family Applications (1)

Application Number Title Priority Date Filing Date
DE60215978T Expired - Lifetime DE60215978T2 (en) 2002-01-18 2002-01-18 Method and device for access control of a mobile terminal in a communication network

Country Status (1)

Country Link
DE (1) DE60215978T2 (en)

Also Published As

Publication number Publication date
DE60215978D1 (en) 2006-12-21

Similar Documents

Publication Publication Date Title
DE60209858T2 (en) Method and device for access control of a mobile terminal in a communication network
EP1529374B1 (en) Method and system for gsm authentication during wlan roaming
DE602004007708T2 (en) A method for common authentication and authorization across different networks
DE102006015033B4 (en) Mobile station as a gateway for mobile terminals to an access network and method for network registration of the mobile station and the mobile terminals
DE19983405B4 (en) System and method for authentication in a mobile communication system
DE69935590T2 (en) AUTHENTICATION PROCESS AND CORRESPONDING SYSTEM TO A TELECOMMUNICATIONS NETWORK
DE602004007301T2 (en) ADDRESSING METHOD AND APPARATUS FOR BUILDING HIP CONNECTIONS BETWEEN CURRENT AND HIP-ABLE NETWORK NODES
DE602004010519T2 (en) REMOTE ACCESS VPN TREATMENT PROCESS AND TREATMENT DEVICE
DE60302882T2 (en) SECURITY TRANSFER PROTOCOL FOR A MOBILITY IP NETWORK
DE102006004868B4 (en) Method and server for providing a mobility key
DE60223951T2 (en) System, apparatus and method for SIM based authentication and encryption when accessing a wireless local area network
DE602005001542T2 (en) Method and apparatus for using a VPN gateway that acts as a mobile IP foreign agent for mobile nodes
DE602004011783T2 (en) Limited Wi-Fi access for an unknown mobile station
EP1943808B1 (en) Method and server for providing a mobile key
DE60028229T2 (en) Produce dynamic sessions for tunnel access in a communication network
DE60308620T2 (en) Roaming service covering multiple providers of mobile data communications
DE602005005739T2 (en) Apparatus and method for wireless printing
DE102006038591A1 (en) Method and device for providing a wireless mesh network
EP2052517A1 (en) Method and system for providing an access specific key
DE202006020961U1 (en) Access point for mobile communication network
DE102004045147A1 (en) A setting information distribution apparatus, method, program and medium, authentication setting transfer apparatus, method, program and medium, and setting information receiving program
DE602004001458T2 (en) A TIGHT-COUPLING WIFI SOLUTION
WO2007051793A1 (en) Subscriber-specific enforcement of proxy-mobile-ip (pmip) instead of client-mobile-ip (cmip)
DE102007001831A1 (en) Encrypted communications links addressing and routing method, involves providing interface in encryption device with unique assignment of addresses of routing layer to addresses of another routing layer
DE60219772T2 (en) NETWORK SYSTEM

Legal Events

Date Code Title Description
8364 No opposition during term of opposition