JP2004104500A - 通信方法、ブリッジ装置及び端末装置 - Google Patents

Abstract

【課題】無線ＬＡＮに備えられている暗号機能とは別の新規暗号機能のような所定の処理を行うブリッジ装置を介した端末間通信を可能とする。
【解決手段】無線ＬＡＮに存在する少なくとも一つの端末２００，２１０が無線ＬＡＮ基地局である第１のＭＡＣブリッジ３１０を介して通信を行うネットワークにおいて、第１のＭＡＣブリッジ３１０の有線ＬＡＮ側に所定の処理を行う追加された第２のＭＡＣブリッジ１００を接続し、端末２００，２１０と第２のブリッジ装置１００との間でＭＡＣフレームを互いを宛先とするヘッダの付加によってカプセル化したフレームをトンネリングさせて互いに送受信する。
【選択図】　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、複数のＭＡＣブリッジから構成されるＬＡＮにおいて、エンド端末が送受信するＭＡＣフレームをＬＡＮ内の任意の位置に接続された任意の処理（例えば暗号化処理）を行う追加されたＭＡＣブリッジを経由して、例えば暗号化通信を実現する通信方法とブリッジ装置及び端末装置に関する。
【０００２】
【従来技術】
無線ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、例えば従来のＩＥＥＥ８０２．１１方式の無線ＬＡＮでは、有線ＬＡＮと同等のセキュリティを実現することを目的として、無線ＬＡＮ上で送受信されるデータフレームを暗号化する機能が備えられている。暗号化の方式としては、ＩＥＥＥ８０２．１１の中でＷＥＰ（Ｗｉｒｅｄ　Ｅｑｕｉｖａｌｅｎｔ　Ｐｒｉｖａｃｙ）が仕様化されている。ＷＥＰを用いたＬＡＮの具体的な構成は、例えば特許文献１に記載されている。このような無線ＬＡＮシステムにおける認証技術については例えば特許文献１に記載され、また無線ＬＡＮにおける暗号鍵の更新の手法については特許文献２に記載されている。最近では、ＷＥＰによる暗号化アルゴリズムの脆弱性が問題にされ始めている。
【０００３】
この問題の対策として、ＬＡＮ内に新たな暗号化機能を導入することが考えられる。具体的な方法としては、無線ＬＡＮ基地局、ＭＡＣ（Ｍｅｄｉａ　Ａｃｅｓｓ　Ｃｏｎｔｒｏｌ）ブリッジ及びルータといった既設の機器に、新規暗号化機能を追加する形態が考えられる。しかし、これら既設の機器が専用ハードウエアで構成されている場合には、当該機器の開発ベンダー以外の第三者、例えばＬＡＮセグメントを運用・管理している管理者が当該機器に新たな機能を追加することは困難である。
【０００４】
そこで、無線ＬＡＮ基地局を包含するＬＡＮ内の任意の位置に、新規暗号化機能を持つＭＡＣブリッジを設置する方法が考えられる。具体的には、新規暗号化機能を持つＭＡＣブリッジを既設の無線ＬＡＮ基地局とルータとの間の任意の位置に設置する。
【０００５】
【特許文献１】
特開２００１−１１１５４４号公報
【０００６】
【特許文献２】
特開２００１−１１１５４３号公報
【０００７】
【発明が解決しようとする課題】
上述したような無線ＬＡＮ基地局を含めた複数のＭＡＣブリッジから構成されるＬＡＮにおいて、新規暗号化機能を有するＭＡＣブリッジを既設の無線ＬＡＮ基地局とルータとの間に設置する形態では、以下のような問題が発生する。
【０００８】
同一の無線ＬＡＮ基地局に接続している端末どうしが通信を行う場合には、無線ＬＡＮ基地局のＭＡＣブリッジ機能によって、端末間でやりとりするＭＡＣフレームはブリッジ処理により折り返されて転送されてしまう。このため、新規暗号化機能を有するＭＡＣブリッジには、端末間でやりとりするＭＡＣフレームが届かず、追加されたＭＡＣブリッジによる新規暗号化機能を用いた通信を行うことができない。
【０００９】
本発明は、無線ＬＡＮに備えられている暗号機能とは別の新規暗号機能のような所定の処理を行うブリッジ装置を用いた端末間通信を可能とする通信方法とブリッジ装置及び端末装置を提供することを目的とする。
【００１０】
【課題を解決するための手段】
上記の課題を解決するため、本発明は無線ネットワーク内に存在する第１端末装置が該無線ネットワークと有線ネットワークとの間に介在された第１のブリッジ装置を介して前記無線ネットワーク内または有線ネットワーク内に存在する前記第２端末装置と通信を行う通信方法において、第１のブリッジ装置の有線ネットワーク側に通信に伴う所定の処理を行う第２のブリッジ装置を接続し、端末装置と第２のブリッジ装置との間で、データフレームを互いの装置を宛先とするヘッダの付加によってカプセル化したカプセル化フレームを第１のブリッジ装置を経由して互いに送受信することを基本とする。
【００１１】
すなわち、第１の端末装置は第２の端末装置へ送信すべきデータフレームを有線ネットワーク内に設けられた第２のブリッジ装置を宛先とする第１ヘッダの付加によってカプセル化し、該第１カプセル化フレームを第１のブリッジ装置へ送信する。第１のブリッジ装置は、受信した第１カプセル化フレームをブリッジ処理により第２のブリッジ装置へ転送させて送信する。第２のブリッジ装置は、受信した第１カプセル化フレームからデータフレームを抽出し、該抽出したデータフレームに対して所定の処理を施して第２データフレームを生成し、該第２データフレームを第２の端末装置を宛先とする第２ヘッダの付加によってカプセル化して第２カプセル化フレームを生成し、該第２カプセル化フレームを第２の端末装置へ送信する。第２の端末装置は、受信した第２カプセル化フレームから第２データフレームを抽出する。
【００１２】
ここで、第２のブリッジ装置が行う所定の処理は、例えば暗号化／復号化処理圧縮方式の変換処理、フレームサイズの変換処理、バッファリング処理及びブロードキャストデータフレームをユニキャストデータフレームに変換する処理の少なくとも一つを含む。
【００１３】
本発明の一つの態様では、無線ネットワークに存在する少なくとも一つの第１及び第２の端末装置を含む複数の端末装置間で、該無線ネットワークと有線ネットワークとの間に介在された第１のブリッジ装置を介して通信を行う際に、第１の端末装置は、第２の端末装置へ送信すべき第１データフレームに対して暗号化処理を施して第２データフレームを生成し、該第２データフレームを有線ネットワーク内に設けられた第２のブリッジ装置を宛先とする第１ヘッダの付加によってカプセル化して第１カプセル化フレームを生成する。第１のブリッジ装置は、受信した第１カプセル化フレームをブリッジ処理により第２のブリッジ装置へ転送させて送信する。第２のブリッジ装置は、受信した第１カプセル化フレームから第２データフレームを抽出し、該抽出した第２データフレームに対して復号化処理を施して第１データフレームを生成し、該第１データフレームに対し暗号化処理を施して第３データフレームを生成し、該第３データフレームを第２の端末装置を宛先とする第２ヘッダの付加によってカプセル化して第２カプセル化フレームを生成し、該第２カプセル化フレームを第２の端末装置へ送信する。第２の端末装置は、受信した第２カプセル化フレームから第３データフレームを抽出し、該抽出した第３データフレームに対して復号化処理を施して第１データフレームを生成する。
【００１４】
本発明に係る一つのブリッジ装置は、第１データフレームが自己宛の第１ヘッダの付加によってカプセル化された第１カプセル化フレームを受信する手段と、受信された第１カプセル化フレームから第１データフレームを抽出する手段と、抽出された第１データフレームに対して復号化処理を施して第２データフレームを生成する手段と、生成された第２データフレームに暗号化処理を施して第３データフレームを生成する手段と、生成された第３データフレームを外部装置宛の第２ヘッダの付加によってカプセル化して第２カプセル化データを生成する手段と、生成された第２カプセル化データを外部装置へ送信する手段とを具備する。
【００１５】
本発明に係る他のブリッジ装置は、第１データフレームが自己宛の第１ヘッダの付加によってカプセル化された第１カプセル化フレームを受信する手段と、受信された第１カプセル化フレームから第１データフレームを抽出する手段と、抽出された第１データフレームに対して所定の処理を施して第２データフレームを生成する手段と、生成された第２データフレームを外部装置宛の第２ヘッダの付加によってカプセル化して第２カプセル化データを生成する手段と、生成された第２カプセル化データを外部装置へ送信する手段とを具備する。
【００１６】
一方、本発明に係る一つの端末装置は、送信すべき第１データフレームに対して暗号化処理を施して第２データフレームを生成する手段と、生成された第２データフレームを外部ブリッジ装置を宛先とする第１ヘッダの付加によってカプセル化して第１カプセル化フレームを生成する手段と、生成された第１カプセル化フレームを送信する手段と、第３データフレームが自己宛の第２ヘッダの付加によってカプセル化された第２カプセル化フレームを受信する手段と、受信された第２カプセル化フレームから第３データフレームを抽出する手段と、　抽出された第３データフレームに対して復号化処理を施して第４データフレームを生成する手段とを具備する。
【００１７】
本発明に係る他の端末装置は、送信すべきデータフレームがブロードキャストフレームである場合に該ブロードキャストフレームを外部ブリッジ装置を宛先とするヘッダの付加によりユニキャストフレームにカプセル化してカプセル化フレームを生成する手段と、生成されたカプセル化フレームを外部ブリッジ装置へ送信する手段とを具備する。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を説明する。
（第１の実施形態）
本実施形態は、ＬＡＮ内のエッジに位置するエンド端末間の通信において、端末から送信するデータまたは端末が受信するデータがＬＡＮ内の任意の位置に新たに設置されたＭＡＣブリッジとの間で暗号化処理されて送受信され、かつＬＡＮを構成するＭＡＣ層がＩＥＥＥ８０２．１１、ＩＥＥＥ８０２．３、あるいはイーサネット（Ｒ）等を含む一般的なＬＡＮ構成において適用可能である。
【００１９】
図１に、本実施形態に係るネットワークの構成例を示す。本実施形態のネットワークには、暗号化対応ＭＡＣブリッジ１００、複数の端末（ＳＴＡ）２００，２１０、有線間マルチポートＭＡＣブリッジ３００、有線・無線間ＭＡＣブリッジ（無線ＬＡＮ基地局）３１０，３２０、アクセスルータ（ＲＴ）４００、認証サーバ（ＡＳ）５００、通信相手端末（ＣＮ）６００及びバックボーンネットワーク（ＢＮ）７００が含まれる。
【００２０】
図１では３つのＭＡＣブリッジ３００，３１０，３２０が示されているが、その他のＭＡＣブリッジが同一ＬＡＮ内に存在してよい。ＭＡＣブリッジ３００，３１０，３２０間を接続する構成は、図１に限定されない。認証サーバ５００はバックボーンネットワーク７００に接続されているが、接続される位置はこれに限定されるものではない。認証サーバ５００を独立した装置と存在させず、暗号化対応ＭＡＣブリッジ１００に縮退させた構成も考えられる。
【００２１】
端末２００，２１０は、例えばＩＥＥＥ８０２．１１規格の無線ＬＡＮを用いてＬＡＮに接続される端末であり、無線ＬＡＮ基地局３１０，３２０の間をハンドオフすることも可能である。端末２００，２１０がＬＡＮに接続するために使用する通信手段は、ＩＥＥＥ８０２．１１の無線ＬＡＮに限定されるものではなく、例えばＩＥＥＥ８０２．３またはイーサネット（Ｒ）といった通信方式で接続していてもよい。通信相手端末６００は、端末２００，２１０と通信を行う端末である。通信相手端末６００は、図１ではバックボーンネットワーク７００の先の存在しているが、同一ＬＡＮ内の他の端末が端末２００，２１０との通信相手であってもよい。
【００２２】
次に、図２〜図４を用いて図１の主要部の詳細な構成を説明する。
（暗号化対応ＭＡＣブリッジ１００について）
暗号化対応ＭＡＣブリッジ１００は、端末２００，２１０との間で暗号化通信を行うＭＡＣブリッジであり、図２の下側に示されているように第１及び第２のネットワークインタフェース１０１，１０２、鍵管理部１０３、暗号化／復号化部１０４、暗号鍵テーブル１０５、カプセル化部１０６、ブリッジ処理部１０７及びブリッジテーブル１０８を有する。
【００２３】
第２のネットワークインタフェース１０２は、ＬＡＮ上で当該インタフェース１０２を一意に識別するためのＭＡＣＩＤであるＭＡＣＩＤ＿ＭＡＣＢＲ１００を持つ。第１のネットワークインタフェース１０１は、第２のネットワークインタフェースとは別のＭＡＣＩＤを持っていてもよい。図２では２個のネットワークインタフェース１０１，１０２のみ示しているが、これ以外のネットワークインタフェースを持っていてもよい。
【００２４】
鍵管理部１０３は、認証サーバ５００を用いて端末２００，２０１を認証し、暗号化／復号化部１０４で使用する端末２００，２１０毎に割り当てた鍵を動的に交換する。暗号化／復号化部１０４は、端末２００，２１０宛のＭＡＣフレームを暗号化し、また端末２００，２１０から受信した暗号化されているＭＡＣフレームを復号化する。暗号鍵テーブル１０５には、暗号化／復号化部１０４で使用する鍵が格納されている。
【００２５】
カプセル化／逆カプセル化部１０６は、端末２００，２１０から送信されてきたカプセル化されているＭＡＣフレームから、カプセル化を解いて暗号化されているＭＡＣフレームを抽出する逆カプセル化を行い、また端末２００，２１０に送信すべき暗号化したＭＡＣフレームを端末宛２００，２１０のＭＡＣフレームとしてカプセル化する。
【００２６】
ブリッジ処理部１０７は、各ネットワークインタフェース間のブリッジ処理（転送処理）を行う。ブリッジ処理部１０７がどのネットワークインタフェースにデータを転送すべきかの情報は、ブリッジテーブル１０８に格納されている。
【００２７】
（端末２００，２１０について）
端末２００は、図３（ａ）に示されるようにＩＥＥ８０２．１１に対応した無線ＬＡＮ用のネットワークインタフェース２０１、鍵管理部２０２、暗号化／復号化部２０３、暗合鍵テーブル２０４及びカプセル化／逆カプセル化部２０５を有する。同様に、もう一つの端末２１０も図３（ｂ）に示されるようにネットワークインタフェース２１１、鍵管理部２１２、暗号化／復号化部２１３、暗合鍵テーブル２１４及びカプセル化／逆カプセル化部２１５を有する。端末２００，２１０は、それぞれのネットワークインタフェース２０１，２１１を一意に示すＭＡＣＩＤ＿ＳＴＡ２００，　ＭＡＣＩＤ＿ＳＴＡ２１０を持っている。
【００２８】
鍵管理部２０２，２１２は、それぞれ認証サーバ５００による端末２００，２１０の認証が成功した場合に、暗号化／復号化部２０２，２１２でそれぞれ使用する鍵を動的に交換する。暗号化／復号化部２０２，２１２は、ＭＡＣフレームを暗号化し、また暗号化されているＭＡＣフレームを復号化する。暗号鍵テーブル２０４，２１４には、暗号化／復号化部２０３，２１３で使用する鍵が格納されている。カプセル化／逆カプセル化部２０５，２１５は、暗号化したＭＡＣフレームを暗号化対応ＭＡＣブリッジ１００宛のＭＡＣフレームとしてカプセル化し、また受信したＭＡＣフレームからカプセル化を解いて暗号化されているＭＡＣフレームを抽出する逆カプセル化を行う。
【００２９】
（有線間マルチポートＭＡＣブリッジ３００について）
有線間マルチポートＭＡＣブリッジ（スイッチ）３００は、暗号化対応ＭＡＣブリッジ１００とバックボーンネットワーク７００との間に挿入され、有線間の転送制御を行うマルチポートのＭＡＣブリッジである。図２の上側に示されるように、有線間マルチポートＭＡＣブリッジ３００は任意の数のネットワークインタフェース３０１，３０２，３０５と、各ネットワークインタフェース３０１，３０２，３０５間のデータ転送を処理するためのブリッジ処理部３０３、及びネットワークインタフェース３０１，３０２，３０５のいずれにデータを転送すべきかの情報を保持するブリッジテーブル３０４を有する。
【００３０】
（有線・無線間ＭＡＣブリッジ３１０について）
有線・無線間ＭＡＣブリッジ３１０は、有線側である暗号化対応ＭＡＣブリッジ１００と無線側との間に挿入され、有線・無線間の転送制御を行うＭＡＣブリッジ（無線ＬＡＮ基地局）である。有線・無線間ＭＡＣブリッジ３１０は、図４に示すように有線側及び無線側にそれぞれ第１及び第２のネットワークインタフェース３１１，３１２を有し、無線側にある第２のネットワークインタフェース３１２は、ＩＥＥＥ８０２．１１上で自身を一意に表すＭＡＣＩＤであるＭＡＣＩＤ＿ＭＡＣＢＲ３１０を持つ。図４中には、有線及び無線用のネットワークインタフェース３１１，３１２をそれぞれ一つずつ示しているが、それぞれの数はこれに限定されるものではなく、二つ以上あっても構わない。
【００３１】
有線・無線間ＭＡＣブリッジ３１０は、さらに有線間マルチポートＭＡＣブリッジ３００と同様に、各ネットワークインタフェース３１１，３１２間のデータ転送を処理するためのブリッジ処理部３１３、及びネットワークインタフェース３１１，３１２のいずれにデータを転送すべきかの情報を保持するブリッジテーブル３１４を有する。
【００３２】
もう一つの有線・無線間ＭＡＣブリッジ３２０も、有線・無線間ＭＡＣブリッジ３１０と同等の構成及び機能を持つ無線ＬＡＮ基地局である。図１では、端末２００，２１０が複数の無線ＬＡＮ基地局間をハンドオフ可能であることを示すために、このように複数の有線・無線間ＭＡＣブリッジ３１０，３２０を図示している。
【００３３】
（アクセスルータ４００について）
アクセスルータ４００は、当該ＬＡＮとバックボーンネットワークバックボーンネットワーク７００との間でルーティングサービスを行う装置であり、内蔵しているＬＡＮ側のネットワークインタフェース（図示せず）を一意に表すＭＡＣＩＤとして、ＭＡＣＩＤ＿ＲＴ４００を持つ。
【００３４】
（認証サーバ５００について）
認証サーバ５００は、暗号化対応ＭＡＣブリッジ１００からの認証要求により端末２００，２１０の認証を行い、認証の成功時に必要な鍵を生成し、その鍵を暗号化対応ＭＡＣブリッジ１００及び認証された端末へ配布する。
【００３５】
（端末６００について）
通信相手端末（ＣＮ）６００は、端末２００，２１０の通信相手となる端末の一つであり、バックボーンネットワーク７００を経由して接続されている。
【００３６】
図５には、暗号化対応ＭＡＣブリッジ１００内の暗号鍵テーブル１０５及び端末２００，２１０内の暗号鍵テーブル２０４，２１４の具体例を示す。暗号化対応ＭＡＣブリッジ１００内の暗号鍵テーブル１０５は、端末２００，２１０のユニキャスト通信用の暗号鍵としてＫＥＹ＿ＵＣＡＳＴ＿ＳＴＡ２００，　ＫＥＹ＿ＵＣＡＳＴ＿ＳＴＡ２１０と、ブロードキャスト通信用の端末２００，２１０に共通のＫＥＹ−ＢＣＡＳＴを含む。端末２００，２１０内の暗号鍵テーブル２０４，２１４は、それぞれユニキャスト通信用の暗号鍵ＫＥＹ＿ＵＣＡＳＴ＿ＳＴＡ２００，　ＫＥＹ＿ＵＣＡＳＴ＿ＳＴＡ２１０と、ブロードキャスト通信用の各端末共通で使用するＫＥＹ−ＢＣＡＳＴを含む。
これらの暗号鍵テーブル１０５，２０４，２１４に含まれる暗号鍵は、認証サーバ５００での端末２００，２１０認証の成功の結果、認証サーバ５００から配布される。これらの暗号鍵は動的に更新されてもよい。
【００３７】
図６に示すように、ＭＡＣブリッジ１００，３００，３１０内のブリッジテーブル１０８，３０４，３１４は、それぞれアクセスルータ４００のＭＡＣＩＤであるＭＡＣＩＤ＿ＲＴ４００、端末２００，２１０のＭＡＣＩＤであるＭＡＣＩＤ＿ＳＴＡ２００，　ＭＡＣＩＤ＿ＳＴＡ２１０を含む。これらのブリッジテーブル１０８，３０４，３１４は、それぞれアクセスルータ４００，端末２００，２１０から送信されたＭＡＣフレームをＭＡＣブリッジ１００，３００，３１０が受信することによって自動的に学習される。
【００３８】
次に、本実施形態における通信手順について述べる。
まず、図７、図８及び図９を参照して端末２００から端末２１０にデータを送信するユニキャスト送信のシーケンスについて説明する。
最初に、端末２００は暗号化対応ＭＡＣブリッジ１００と認証サーバ５００との間で、認証及び鍵交換を行う（ステップＳ１００）。この時使用される認証及び鍵交換の方法は、特定の方式に限定されるものではないので、ここでは省略する。ただし、これらのメッセージ交換を通して、端末２００と暗号化対応ＭＡＣブリッジ１００はそれぞれ互いのＭＡＣＩＤであるＭＡＣＩＤ＿ＳＴＡ２００，　ＭＡＣＩＤ＿ＭＡＣＢＲ１００を知るものとする。このシーケンスには、認証及び鍵交換のために複数のメッセージ交換を含んでもよい。ＭＡＣブリッジ３００，３１０でのブリッジ処理、アクセスルータ４００によるルーティング処理によって、端末２００、暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００の間で、一連のメッセージの交換が行われる。
【００３９】
ステップＳ１００での認証及び鍵交換が成功した場合、端末２００及び暗号化対応ＭＡＣブリッジ１００はそれぞれの暗号鍵テーブル２０４，１０５に取得した暗号鍵を設定する（ステップＳ１０１，Ｓ１０２）。
同様に、もう一つの端末２１０は暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００との間で認証及び鍵交換を行い（ステップＳ１０３）、認証及び鍵交換が成功した場合、端末２１０及び暗号化対応ＭＡＣブリッジ１００はそれぞれの暗号鍵テーブル２１４，１０５に取得した暗号鍵を設定する（ステップＳ１０４，Ｓ１０５）。
【００４０】
ここまでのシーケンスで、図５に示した暗号鍵テーブル１０５，２０４，２１４が設定される。また、上述した一連のメッセージ交換で発生したＭＡＣブリッジ１００，３００，３１０でのブリッジ処理により、各ＭＡＣブリッジ１００，３００，３１０内のブリッジテーブル１０８，３０４，３１４が図６で示されるように設定される。この段階では、端末２００，２１０からのデータを含むＭＡＣフレームが有線間マルチポートＭＡＣブリッジ３００に到達することはないので、ＭＡＣブリッジ３００内のブリッジテーブル３０４には、端末２００，２１０のＭＡＣＩＤのエントリは含まれない。
【００４１】
次に、端末２００は以下のような端末２１０宛のユニキャスト送信データ処理を行う（ステップＳ１１０）。まず、端末２００は端末２１０宛の図８（ａ）に示すイーサネット（Ｒ）フレーム３０００を作成し、それを暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて暗号化／復号化部２０３により暗号化する。さらに、端末２００は暗号化されたイーサネット（Ｒ）フレームをカプセル化／逆カプセル化部２０５に渡し、認証及び鍵交換で得られたトンネルすべき相手先である暗号化対応ＭＡＣブリッジ１００宛の図８（ｂ）に示すＩＥＥＥ８０２．１１フレーム３１００としてカプセル化する。図８（ｂ）のＩＥＥＥ８０２．１１フレーム３１００では、ＩＥＥＥ８０２．１１ヘッダのアドレスＡｄｄｒｅｓｓ１，　Ａｄｄｒｅｓｓ２，　Ａｄｄｒｅｓｓ３　は、それぞれＭＡＣＩＤ＿ＭＡＣＢＲ３１０，　ＭＡＣＩＤ＿ＳＴＡ２００，　ＭＡＣＩＤ＿ＭＡＣＢＲ１００であり、ＬＡＮ内の最終宛先が暗号化対応ＭＡＣブリッジ１００となっている。
【００４２】
次に、端末２００はステップＳ１１０で生成された最終宛先を暗号化対応ＭＡＣブリッジ１００とするＩＥＥＥ８０２．１１フレーム３１００を有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ１１１）。
【００４３】
一方、ＩＥＥＥ８０２．１１フレーム３１００を受信した有線・無線間ＭＡＣブリッジ３１０では、当該フレーム３１００の最終宛先がアドレスＡｄｄｒｅｓｓ３で示される暗号化対応ＭＡＣブリッジ１００であり、またブリッジテーブル３１４を検索することによって、当該フレーム３１００が第１のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム３１００をその内容に応じて図８（ｃ）に示す暗号化対応ＭＡＣブリッジ１００宛のイーサネット（Ｒ）フレーム３２００、ないしは同等のＩＥＥＥ８０２．３＋８０２．２形式のＭＡＣフレームに変換し（ステップＳ１１２）、第１のネットワークインタフェース３１１から暗号化対応ＭＡＣブリッジ１００へ送信する（ステップＳ１１３）。
【００４４】
自身宛のイーサネット（Ｒ）フレーム３２００を受信した暗号化対応ＭＡＣブリッジ１００では、受信したイーサネット（Ｒ）フレーム３０００からカプセル化／逆カプセル化部１０６によって、暗号化されているイーサネット（Ｒ）フレーム３２１０を抽出する。暗号化対応ＭＡＣブリッジ１００は、受信したイーサネット（Ｒ）フレーム３２００の送信元アドレスがＭＡＣＩＤ＿ＳＴＡ２００であり、また暗号鍵テーブル１０５を検索することによって端末２００用の暗号鍵がＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２００であることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗合鍵ＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２００を用いて暗号化／復号化部１０４により、暗号化されているイーサネット（Ｒ）フレーム３２１０を復号化する。
【００４５】
さらに、暗号化対応ＭＡＣブリッジ１００は、次のような暗号化転送処理を行う（ステップＳ１１４）。すなわち、暗号化対応ＭＡＣブリッジ１００は復号化されたイーサネット（Ｒ）フレーム３０００の宛先が端末２１０であり、またブリッジテーブル１０８を検索することによって、復号化されたイーサネット（Ｒ）フレーム３０００が第２のネットワークインタフェース１０１に転送すべきフレームであることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗号鍵テーブル１０５を再度検索することによって端末２１０用の暗号鍵がＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２１０であることを知ると、この暗号鍵ＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２１０を用いて、復号化されたイーサネット（Ｒ）フレーム３０００を暗号化／復号化部１０４によって暗号化する。
【００４６】
この後、暗号化対応ＭＡＣブリッジ１００は、暗号化したイーサネット（Ｒ）フレームをカプセル化／逆カプセル化部１０４によって図９（ａ）に示す端末２１０宛のイーサネット（Ｒ）フレーム３３００としてカプセル化し、有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ１１５）。
【００４７】
イーサネット（Ｒ）フレーム３３００を受信した有線・無線間ＭＡＣブリッジ３１０は、当該フレーム３３００の最終宛先が端末２１０であり、またブリッジテーブル３１４を検索することによって、第２のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム３３００を図９（ｂ）に示すＩＥＥＥ８０２．１１フレーム３４００に変換し（ステップＳ１１６）、第２のネットワークインタフェース３１２から端末２１０へ送信する（ステップＳ１１７）。
【００４８】
自身宛のＩＥＥＥ８０２．１１フレーム３４００を受信した端末２１０は、カプセル化／逆カプセル化部２０５により当該フレームから暗号化されているイーサネット（Ｒ）フレーム３４１０を抽出し、それを暗号化／復号化部２１３によって暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて復号化する。復号化されたイーサネット（Ｒ）フレーム３０００は、端末２００から自身宛に送信されたイーサネット（Ｒ）フレームであることから上位層に渡し、これで受信処理が完了する（ステップＳ１１８）。
【００４９】
次に、図１０及び図１１を参照して端末２００から通信相手端末６００にデータを送信する場合のシーケンスを説明する。
端末２００と暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００間の認証及び鍵交換は、上記のシーケンスで既に完了しているものとする。端末２００は、以下のような通信相手端末６００宛のユニキャスト送信データ処理を行う（ステップＳ２００）。すなわち、端末２００は通信相手端末６００にデータの送信を行うためにアクセスルータ４００宛の図１１（ａ）に示すイーサネット（Ｒ）フレーム４０００を作成し、それを暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて暗号化／復号化部２０３により暗号化する。
【００５０】
さらに、端末２００は暗号化したイーサネット（Ｒ）フレームをカプセル化／逆カプセル化部２０５によって、対応ＭＡＣブリッジ１００宛の図１１（ｂ）に示すＩＥＥＥ８０２．１１フレーム４１００としてカプセル化する。図１１（ｂ）に示すＩＥＥＥ８０２．１１フレーム４１００では、ＩＥＥＥ８０２．１１ヘッダのアドレスＡｄｄｒｅｓｓ１，　Ａｄｄｒｅｓｓ２，　Ａｄｄｒｅｓｓ３　はそれぞれＭＡＣＩＤ＿ＭＡＣＢＲ３１０，　ＭＡＣＩＤ＿ＳＴＡ２００，　ＭＡＣＩＤ＿ＭＡＣＢＲ１００であり、ＬＡＮ内の最終宛先はＭＡＣＩＤ＿ＲＴ５００で示される有線・無線間ＭＡＣブリッジ３１０となっている。
【００５１】
次に、端末２００はステップＳ２００で生成されたＩＥＥＥ８０２．１１フレーム４１００を有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ２０１）。
一方、ＩＥＥＥ８０２．１１フレーム４１００を受信した有線・無線間ＭＡＣブリッジ３１０では、当該フレーム４１００の最終宛先がアドレスＡｄｄｒｅｓｓ３で示される暗号化対応ＭＡＣブリッジ１００であり、またブリッジテーブル３１４を検索することによって、当該フレーム４１００が第１のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム４１００をその内容に応じて暗号化対応ＭＡＣブリッジ１００宛の図１１（ｃ）に示すイーサネット（Ｒ）フレーム４２００、ないしは同等のＩＥＥＥ８０２．３＋８０２．２形式のＭＡＣフレームに変換し（ステップＳ２０２）、第１のネットワークインタフェース３１１から暗号化対応ＭＡＣブリッジ１００へ送信する（ステップＳ２０３）。
【００５２】
自身宛のイーサネット（Ｒ）フレーム４２００を受信した暗号化対応ＭＡＣブリッジ１００は、カプセル化／逆カプセル化部１０６によって、受信したイーサネット（Ｒ）フレーム４２００から図１１（ｃ）中に示す暗号化されているイーサネット（Ｒ）フレーム４２１０を抽出する。暗号化対応ＭＡＣブリッジ１００は、イーサネット（Ｒ）フレーム４２００の送信元アドレスがＭＡＣＩＤ＿ＳＴＡ２００であり、また暗号鍵テーブル１０５を検索することによって、端末２００用の暗号鍵がＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２００であることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗合鍵ＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２００を用いて暗号化／復号化部１０４により、暗号化されているイーサネット（Ｒ）フレーム４２１０を復号化する。
【００５３】
さらに、暗号化対応ＭＡＣブリッジ１００は、次のような暗号化転送処理を行う（ステップＳ２０４）。すなわち、暗号化対応ＭＡＣブリッジ１００は、復号化されたイーサネット（Ｒ）フレーム４０００の宛先がアクセスルータ４００であり、またブリッジテーブル１０８を検索することによって、復号化されたイーサネット（Ｒ）フレーム４０００が第１のネットワークインタフェース１０１に転送すべきであることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、復号化されたイーサネット（Ｒ）フレーム４０００をそのまま第１のネットワークインタフェースから有線間マルチポートＭＡＣブリッジ３００へ送信する（ステップＳ２０５）。
【００５４】
イーサネット（Ｒ）フレーム４０００を受信した有線間マルチポートＭＡＣブリッジ３００は、当該フレームの最終宛先がアクセスルータ４００であり、またブリッジテーブル３１４を検索することによって、受信したイーサネット（Ｒ）フレーム４０００が第１のネットワークインタフェース３０１へブリッジすべきであることを知ると、受信したイーサネット（Ｒ）フレーム４０００をそのまま第１のネットワークインタフェース３０１からアクセスルータ４００へ送信する（ステップＳ２０６，Ｓ２０７）。
【００５５】
自身宛のイーサネット（Ｒ）フレーム４０００を受信したアクセスルータ５００は、ＭＡＣフレームから上位層のパケットを抽出し、バックボーンネットワーク７００へルーティング処理して送信する（ステップＳ２０８，Ｓ２０９）。
以降、バックボーンネットワーク７００内をルーティングされた上位層のパケットは、最終的に通信相手端末６００へ転送され、通信相手端末６００で受信処理されて処理が完了する（ステップＳ２１０）。
ルーティングを行う上位層のプロトコルには、例えばインタネットで使用されるＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）が使用されるが、これに限定されるものではない。
【００５６】
次に、図１２、図１３及び図１４を参照して端末２００からブロードキャスト宛にデータを送信する場合のシーケンスを説明する。
端末２００と暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００間の認証及び鍵交換は、上記のシーケンスで既に完了しているものとする。端末２００は、以下のようなブロードキャスト宛の送信データ処理を行う（ステップＳ３００）。
【００５７】
まず、端末２００は図１３（ａ）に示すブロードキャスト宛のイーサネット（Ｒ）フレーム５０００を作成し、それを暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて暗号化／復号化部２０３により暗号化する。さらに、端末２００は暗号化したイーサネット（Ｒ）フレームをカプセル化／逆カプセル化部２０５によって、暗号化対応ＭＡＣブリッジ１００宛の図１３（ｂ）に示すＩＥＥＥ８０２．１１フレーム５１００としてカプセル化する。図１３（ｂ）に示すＩＥＥＥ８０２．１１フレーム５１００では、ＩＥＥＥ８０２．１１ヘッダのアドレスＡｄｄｒｅｓｓ１，　Ａｄｄｒｅｓｓ２，　Ａｄｄｒｅｓｓ３　はそれぞれＭＡＣＩＤ＿ＭＡＣＢＲ３１０，　ＭＡＣＩＤ＿ＳＴＡ２００，　ＭＡＣＩＤ＿ＭＡＣＢＲ１００であり、ＬＡＮ内の最終宛先は暗号化対応ＭＡＣブリッジ１００となっている。
次に、端末２００はステップＳ３００で生成されたＩＥＥＥ８０２．１１フレーム５１００を有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ３０１）。
【００５８】
一方、ＩＥＥＥ８０２．１１フレーム５１００を受信した有線・無線間ＭＡＣブリッジ３１０では、当該フレーム５１００の最終宛先がアドレスＡｄｄｒｅｓｓ３で示される暗号化対応ＭＡＣブリッジ１００であり、またブリッジテーブル３１４を検索することによって、当該フレーム５１００が第１のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム５１００をその内容に応じて暗号化対応ＭＡＣブリッジ１００宛の図１３（ｃ）に示すイーサネット（Ｒ）フレーム５２００、ないしは同等のＩＥＥＥ８０２．３＋８０２．２形式のＭＡＣフレームに変換し（ステップＳ３０２）、第１のネットワークインタフェース３１１から暗号化対応ＭＡＣブリッジ１００へ送信する（ステップＳ３０３）。
【００５９】
一方、自身宛のイーサネット（Ｒ）フレーム５２００を受信した暗号化対応ＭＡＣブリッジ１００は、次のような暗号化転送処理を行う（ステップＳ３０４）。すなわち、暗号化対応ＭＡＣブリッジ１００では、カプセル化／逆カプセル化部１０６によって、受信したイーサネット（Ｒ）フレーム５２００から図１３（ｃ）中に示す暗号化されているイーサネット（Ｒ）フレーム５２１０を抽出する。暗号化対応ＭＡＣブリッジ１００は、イーサネット（Ｒ）フレーム５２００の送信元アドレスがＭＡＣＩＤ＿ＳＴＡ２００であり、また暗号鍵テーブル１０５を検索することによって、端末２００用の暗号鍵がＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２００であることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗号鍵ＫＥＹ−ＵＣＡＳＴ＿ＳＴＡ２００を用いて暗号化／復号化部１０４により、暗号化されているイーサネット（Ｒ）フレーム５２１０を復号化する。
【００６０】
暗号化対応ＭＡＣブリッジ１００は、復号化されたイーサネット（Ｒ）フレーム５０００の宛先アドレスがブロードキャスト宛であることから、当該フレーム５０００が第１及び第２のネットワークインタフェース１０１，１０２に転送すべきフレームであることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗号鍵テーブル１０５に含まれるブロードキャスト用の暗号鍵ＫＥＹ−ＢＣＡＳＴを再度用いて、復号化したイーサネット（Ｒ）フレーム５０００を暗号化／復号化部１０４によって暗号化する。次に、暗号化対応ＭＡＣブリッジ１００は、暗号化したイーサネット（Ｒ）フレームをカプセル化／逆カプセル化部１０６によってブロードキャスト宛の図１４（ａ）に示すイーサネット（Ｒ）フレーム５３００にカプセル化する。
【００６１】
次に、暗号化対応ＭＡＣブリッジ１００は図１４（ａ）に示すカプセル化されたイーサネット（Ｒ）フレーム５３００第２のネットワークインタフェース１０２から送信し（ステップＳ３１０）、一方、復号化したイーサネット（Ｒ）フレーム５０００を第１のネットワークインタフェース１０２からそのままブロードキャスト宛に送信する（ステップＳ３２０）。
【００６２】
ＩＥＥＥ８０２．１１の無線ＬＡＮは無線の性質上、例えばビット誤り等によりＭＡＣフレームの送信を失敗することがあるが、ブロードキャストフレームの場合、送信に失敗した場合でもＭＡＣフレームの再送は行われない。そこで、暗号化対応ＭＡＣブリッジ１００は転送すべきブロードキャスト宛のＭＡＣフレーム５３００を図１４（ｃ）に示すＭＡＣフレーム５５００のような各端末宛のユニキャストフレームにカプセル化して送信することによって、無線ＬＡＮ上でＭＡＣフレームの送信が失敗した場合にも、ユニキャストフレームに対する再送機能により、その送信の信頼性を向上させることができる。この場合、暗号化対応ＭＡＣブリッジ１００が暗号鍵を持っている全ての端末宛に、個別にそれぞれの暗号鍵で暗号化したＭＡＣフレームをユニキャストで送信する必要がある。
【００６３】
イーサネット（Ｒ）フレーム５３００を受信した有線・無線間ＭＡＣブリッジ３１０は、当該フレーム５３００の最終宛先がブロードキャストであることから、ブリッジ処理部３１３により当該フレーム５３００を図１４（ｂ）に示すＩＥＥＥ８０２．１１フレーム５４００に変換し（ステップＳ３１１）、第２のネットワークインタフェース３１２からブロードキャスト宛に送信する（ステップＳ３１２）。
【００６４】
一方、図１３（ａ）に示したイーサネット（Ｒ）フレーム５０００を受信した有線間マルチポートＭＡＣブリッジ３００は、当該フレーム５０００の最終宛先がブロードキャストであることから、第１及び第Ｎのネットワークインタフェース３０１，３０５へ転送すべきフレームであることを知る。この結果、有線間マルチポートＭＡＣブリッジ３００は、受信したフレーム５０００をそのまま第１及び第Ｎのネットワークインタフェース３０１，３０５からブロードキャスト宛に送信する（ステップＳ３２１，Ｓ３２２）。
【００６５】
ブロードキャスト宛のＩＥＥＥ８０２．１１形式のＭＡＣフレーム５４００を受信した端末２１０は、カプセル化／逆カプセル化部２０５により当該フレームから暗号化されているイーサネット（Ｒ）フレーム５４１０を抽出し、それを暗号化／復号化部２０３によって暗号鍵テーブル２０４に含まれるブロードキャスト用の暗号鍵で復号化する。復号化したイーサネット（Ｒ）フレーム５０００は、端末２００からブロードキャスト宛に送信されたイーサネット（Ｒ）フレームであることから、上位層に渡して受信処理が完了する（ステップＳ３１３）。
【００６６】
一方、ブロードキャスト宛のイーサネット（Ｒ）フレーム５０００を受信したアクセスルータ５００は、ＭＡＣフレームから上位層のパケットを抽出し、必要な処理を行って受信処理を完了する（ステップＳ３２３）。
【００６７】
以上の説明では端末２００からのデータ送信に関して述べたが、端末２１０またはアクセスルータ４００からのデータの送信も、以上と同様のシーケンスで実行される。
【００６８】
このように本実施形態によると、ＬＡＮ内の通信において、ＷＥＰ暗号化アルゴリズムとは異なった新規暗号化機能を有する第３のＭＡＣブリッジである暗号化対応ＭＡＣブリッジ１００を既設の無線ＬＡＮ基地局（有線・無線間ＭＡＣブリッジ３１０）の有線ＬＡＮ側に設置することによって、既設の機器を改変することなく、新規のよりセキュリティの高い暗号通信システムを実現することができるようになる。
【００６９】
また、暗号化対応ＭＡＣブリッジ１００によってトラフィックを終端できることにより、同一ＬＡＮ内の無線ＬＡＮ基地局３１０に接続している端末２００，２１０間の通信において、有線間マルチポートＭＡＣブリッジ３００とアクセスルータ４００間に無駄なトラフィックを発生させないため、例えばＩＰＳｅｃプロトコルを用いてアクセスルータ４００を経由した暗号化通信を行う場合に比べて、ＬＡＮ内のトラフィックを削減することも可能となる。
【００７０】
さらに、本実施形態の暗号通信システムにおいては、端末２００，２１０と暗号化対応ＭＡＣブリッジ１００間で、上りユニキャスト、上りブロードキャスト及び下りユニキャスト用の暗号鍵がそれぞれ異なり、暗号化対応ＭＡＣブリッジ１００からの下り方向のブロードキャスト用の暗号鍵は端末２００，２１０間で共通であるが、上り方向のブロードキャスト用の暗号鍵が異なっている。
【００７１】
この場合、本実施形態では例えば端末２００が本来ブロードキャストとして送信するＭＡＣフレームをユニキャストで有線・無線間ＭＡＣブリッジ３１０をブリッジ処理により転送させることによって、端末２１０をはじめとするエンド端末に暗号化鍵が不適合のために復号化できない不必要なブロードキャストフレームが到達することを抑制することが可能となる。
【００７２】
また、このようにブロードキャストフレームを各端末宛のユニキャストフレームにカプセル化して送信することにより、無線ＬＡＮ上でＭＡＣフレームの送信が失敗した場合にも、ユニキャストフレームに対する再送機能によって送信信頼性の向上を期待することができる。
【００７３】
次に、図１５〜図１７を参照して本発明の他の実施形態について説明する。これまでの実施形態では、新規暗号化機能を有する暗号化ＭＡＣブリッジ１００を追加した例について説明したが、追加されたＭＡＣブリッジは図１５〜図１７に示すような構成でもよい。図１５〜図１７では省略されているが、図２の暗号化対応ＭＡＣブリッジ１００で示したブリッジテーブル１０８も存在する。
【００７４】
図１５に示すＭＡＣブリッジ１１０は、図２に示した暗号化／復号化部１０３に代えて圧縮方式変換部１１１を有する。図１に示した有線・無線間ＭＡＣブリッジ３１０に接続されている端末２００，２１０がＭＡＣフレームの圧縮／伸長機能を有する場合、各端末が互いに異なる圧縮方式のみしかサポートしていない状況があり得る。
【００７５】
圧縮方式変換部１１１は、このような互いに通信を行う端末間の圧縮方式の違いを吸収するため、送信元端末からＭＡＣブリッジ１１０に送られてきた圧縮されているＭＡＣレームを宛先端末でサポートしている圧縮方式のＭＡＣフレームに変換する機能を有する。
【００７６】
図１６に示すＭＡＣブリッジ１２０は、図２に示した暗号化／復号化部１０３に代えてフラグメント部１２１を有する。図１に示した有線・無線間ＭＡＣブリッジ３１０に接続されている端末２００，２１０がＭＴＵ（ＭａｘｉｍｕｍＴｒａｎｓｆｅｒＵｎｉｔ）サイズの異なるリンクに接続されている場合、それらの端末間でも通信を行うことができるように、フラグメント部１２１はＭＡＣフレームサイズの変換を行う。
【００７７】
より具体的には、フラグメント／リアセンブル部１２１は、送信元端末からＭＡＣブリッジ１２０に送られてきたＭＡＣフレームを宛先端末が接続されているリンクの持つＭＴＵサイズに合致するようにフラグメント（断片化）して送信する。宛先端末では、こうしてフラグメント化されたＭＡＣフレームを受信し、リアセンブル（再組立）を行うことになる。
【００７８】
図１７に示すＭＡＣブリッジ１３０は、図２に示した暗号化／復号化部１０３に代えてバッファリング部１３１を有する。図１に示した有線・無線間ＭＡＣブリッジ３１０に接続されている端末２００，２１０が異なるリンク速度でネットワークに接続されている場合、リンク速度の低い端末に内蔵されている受信バッファがオーバフローを起こすことがある。
【００７９】
バッファリング部１３１は、このような受信バッファのオーバフローを回避するため、送信元端末のリンク速度より宛先端末のリンク速度の方が遅い場合、送信元端末からＭＡＣブリッジ１３０に送られてきたＭＡＣフレームをバッファメモリに一旦バッファリングし、これを宛先端末のリンク速度に適合した速度で読み出して送信させる。
【００８０】
このように追加されたＭＡＣブリッジは、暗号化／復号化機能を有するもののみでなく、従来のネットワークシステムで備えられていない機能、あるいは、備えられていても不十分な性能を補完したり強化したりする機能を備えていてもよい。すなわち、本発明の主旨の一つは端末間で通信を行う場合に端末間で送信する本来のＭＡＣフレームを追加されたＭＡＣブリッジを宛先とするＭＡＣヘッダを付加することでカプセル化して送信することによって、追加されたブリッジで所定の処理を施してＭＡＣフレームを転送することであり、この主旨の範囲で種々変形することが可能である。
【００８１】
【発明の効果】
以上説明したように、本発明によれば無線ＬＡＮ内の端末装置が無線ＬＡＮと有線ＬＡＮとの間に介在された第１のブリッジ装置を介して他の端末装置と通信を行うネットワークシステムにおいて、所定の処理機能を有する第２のブリッジ装置を既設の有線ＬＡＮ内に設置し、端末装置と第２のブリッジ装置との間でトンネリングさせてＭＡＣフレームの送受信を行うことによって、例えば無線ＬＡＮ基地局や有線間ＭＡＣブリッジ及びルータといった既設の機器を改変することなく、より改良された通信を実現することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係るネットワークの構成を示す図
【図２】同実施形態における暗号化対応ＭＡＣブリッジ及び有線間マルチポートＭＡＣブリッジの詳細な構成を示すブロック図
【図３】同実施形態における端末の詳細な構成を示すブロック図
【図４】同実施形態における有線・無線間ＭＡＣブリッジ（無線ＬＡＮ基地局）の詳細な構成を示すブロック図
【図５】同実施形態における暗号化対応ＭＡＣブリッジ及び端末で使用される暗号鍵テーブルの一例を示す図
【図６】同実施形態における暗号化対応ＭＡＣブリッジ、有線・無線間ＭＡＣブリッジ及び有線間マルチポートＭＡＣブリッジで使用されるブリッジテーブルの一例を示す図
【図７】同実施形態における同一ＬＡＮ内の端末間通信のシーケンスの一例を示す図
【図８】同実施形態における同一ＬＡＮ内の端末間通信時に送受信されるＭＡＣフレーム（端末２００→暗号化対応ＭＡＣブリッジ１００）の一例を示す図
【図９】同実施形態における同一ＬＡＮ内の端末間通信時に送受信されるＭＡＣフレーム（暗号化対応ＭＡＣブリッジ１００→端末２１０）の一例を示す図
【図１０】同実施形態におけるＬＡＮ内の端末とバックボーンネットワークに接続された通信相手端末との間の通信のシーケンスの一例を示す図
【図１１】同実施形態におけるＬＡＮ内の端末とバックボーンネットワークに接続された通信相手端末との間の通信時に送受信されるＭＡＣフレームの一例を示す図
【図１２】同実施形態における同一ＬＡＮ内のブロードキャスト宛の通信のシーケンスの一例を示す図
【図１３】同実施形態における同一ＬＡＮ内のブロードキャスト宛の通信時送受信されるＭＡＣフレーム（端末２００→ブロードキャスト）の一例を示す図
【図１４】同実施形態における同一ＬＡＮ内のブロードキャスト宛の通信時送受信されるＭＡＣフレーム（暗号化対応ＭＡＣブリッジ１００→ブロードキャスト）の一例を示す図
【図１５】本発明の他の実施形態に係る追加されたＭＡＣテーブルの構成を示すブロック図
【図１６】本発明の別の実施形態に係る追加されたＭＡＣテーブルの構成を示すブロック図
【図１７】本発明のさらに別の実施形態に係る追加されたＭＡＣテーブルの構成を示すブロック図
【符号の説明】
１００…暗号化対応ＭＡＣブリッジ
２００，２１０…端末
３００…有線間マルチポートＭＡＣブリッジ
３１０…有線・無線間ＭＡＣブリッジ（無線ＬＡＮ基地局）
４００…アクセスルータ
５００…認証サーバ
６００…通信相手端末
７００…バックボーンネットワーク

Claims (12)

1. 無線ネットワーク内に存在する第１端末装置が該無線ネットワークと有線ネットワークとの間に介在された第１のブリッジ装置を介して前記無線ネットワーク内または有線ネットワーク内に存在する前記第２端末装置と通信を行う通信方法であって、
   前記第１の端末装置は、前記第２の端末装置へ送信すべきデータフレームを前記有線ネットワーク内に設けられた第２のブリッジ装置を宛先とする第１ヘッダの付加によってカプセル化し、該第１カプセル化フレームを前記第１のブリッジ装置へ送信し、
   前記第１のブリッジ装置は、受信した前記第１カプセル化フレームを前記第２のブリッジ装置へ転送させて送信し、
   前記第２のブリッジ装置は、受信した前記第１カプセル化フレームから前記データフレームを抽出し、該抽出したデータフレームに対して所定の処理を施して第２データフレームを生成し、該第２データフレームを前記第２の端末装置を宛先とする第２ヘッダの付加によってカプセル化して第２カプセル化フレームを生成し、該第２カプセル化フレームを前記第２の端末装置へ送信し、
   前記第２の端末装置は、受信した前記第２カプセル化フレームから前記第２データフレームを抽出する通信方法。
2. 無線ネットワークに存在する少なくとも一つの第１及び第２の端末装置を含む複数の端末装置間で、該無線ネットワークと有線ネットワークとの間に介在された第１のブリッジ装置を介して通信を行う通信方法であって、
   前記第１の端末装置は、前記第２の端末装置へ送信すべき第１データフレームに対して暗号化処理を施して第２データフレームを生成し、該第２データフレームを前記有線ネットワーク内に設けられた第２のブリッジ装置を宛先とする第１ヘッダの付加によってカプセル化して第１カプセル化フレームを生成し、
   前記第１のブリッジ装置は、受信した前記第１カプセル化フレームを前記第２のブリッジ装置へ転送させて送信し、
   前記第２のブリッジ装置は、受信した前記第１カプセル化フレームから前記第２データフレームを抽出し、該抽出した第２データフレームに対して復号化処理を施して前記第１データフレームを生成し、該第１データフレームに対し暗号化処理を施して第３データフレームを生成し、該第３データフレームを前記第２の端末装置を宛先とする第２ヘッダの付加によってカプセル化して第２カプセル化フレームを生成し、該第２カプセル化フレームを前記第２の端末装置へ送信し、前記第２の端末装置は、受信した前記第２カプセル化フレームから前記第３データフレームを抽出し、該抽出した第３データフレームに対して復号化処理を施して前記第１データフレームを生成する通信方法。
3. 前記所定の処理は、圧縮方式の変換処理を含む請求項１記載の通信方法。
4. 前記所定の処理は、フレームサイズの変換処理を含む請求項１記載の通信方法。
5. 前記所定の処理は、バッファリング処理を含む請求項１記載の通信方法。
6. 前記所定の処理は、ブロードキャストデータフレームをユニキャストデータフレームに変換する処理を含む請求項１記載の通信方法。
7. 第１データフレームが自己宛の第１ヘッダの付加によってカプセル化された第１カプセル化フレームを受信する手段と、
   受信された前記第１カプセル化フレームから前記第１データフレームを抽出する手段と、
   抽出された前記第１データフレームに対して復号化処理を施して第２データフレームを生成する手段と、
   生成された前記第２データフレームに暗号化処理を施して第３データフレームを生成する手段と、
   生成された前記第３データフレームを外部装置宛の第２ヘッダの付加によってカプセル化して第２カプセル化データを生成する手段と、
   生成された前記第２カプセル化データを前記外部装置へ送信する手段と
   を具備するブリッジ装置。
8. 第１データフレームが自己宛の第１ヘッダの付加によってカプセル化された第１カプセル化フレームを受信する手段と、
   受信された前記第１カプセル化フレームから前記第１データフレームを抽出する手段と、
   抽出された前記第１データフレームに対して所定の処理を施して第２データフレームを生成する手段と、
   生成された前記第２データフレームを外部装置宛の第２ヘッダの付加によってカプセル化して第２カプセル化データを生成する手段と、
   生成された前記第２カプセル化データを前記外部装置へ送信する手段と
   を具備するブリッジ装置。
9. 前記所定の処理は、圧縮方式の変換処理、フレームサイズの変換処理及びバッファリング処理の少なくとも一つを含む請求項８記載のブリッジ装置。
10. 第１データフレームが自己宛の第１ヘッダの付加によってカプセル化された第１カプセル化フレームを受信する手段と、
    受信された前記第１カプセル化フレームから前記第１データフレームを抽出する手段と、
    抽出された前記第１データフレームがブロードキャストフレームである場合に、該第１データフレームを複数の外部装置宛の第２ヘッダの付加によってカプセル化してユニキャストフレームである複数の第２カプセル化データを生成する手段と、
    生成された前記複数の第２カプセル化データを前記複数の外部装置へ送信する手段と
    を具備するブリッジ装置。
11. 送信すべき第１データフレームに対して暗号化処理を施して第２データフレームを生成する手段と、
    生成された前記第２データフレームを外部ブリッジ装置を宛先とする第１ヘッダの付加によってカプセル化して第１カプセル化フレームを生成する手段と、
    生成された前記第１カプセル化フレームを送信する手段と、
    第３データフレームが自己宛の第２ヘッダの付加によってカプセル化された第２カプセル化フレームを受信する手段と、
    受信された前記第２カプセル化フレームから前記第３データフレームを抽出する手段と、
    抽出された前記第３データフレームに対して復号化処理を施して第４データフレームを生成する手段と
    を具備する端末装置。
12. 送信すべきデータフレームがブロードキャストフレームである場合に該ブロードキャストフレームを外部ブリッジ装置を宛先とするヘッダの付加によりユニキャストフレームにカプセル化してカプセル化フレームを生成する手段と、
    生成された前記カプセル化フレームを前記外部ブリッジ装置へ送信する手段とを具備する端末装置。

Images