JP2004312257A - Base station, repeating device and communication system - Google Patents

Base station, repeating device and communication system Download PDF

Info

Publication number
JP2004312257A
JP2004312257A JP2003101714A JP2003101714A JP2004312257A JP 2004312257 A JP2004312257 A JP 2004312257A JP 2003101714 A JP2003101714 A JP 2003101714A JP 2003101714 A JP2003101714 A JP 2003101714A JP 2004312257 A JP2004312257 A JP 2004312257A
Authority
JP
Japan
Prior art keywords
virtual lan
data
security
base station
communication terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2003101714A
Other languages
Japanese (ja)
Inventor
Daisuke Taki
大輔 滝
Naohisa Shibuya
尚久 渋谷
Masataka Goto
真孝 後藤
Masahiro Takagi
雅裕 高木
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Original Assignee
Toshiba Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toshiba Corp filed Critical Toshiba Corp
Priority to JP2003101714A priority Critical patent/JP2004312257A/en
Publication of JP2004312257A publication Critical patent/JP2004312257A/en
Pending legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To secure security in virtual LAN and to store a communication terminal. <P>SOLUTION: In a base station 111, an acquirement means 232 acquires security information which is set at every virtual LAN from an authentication server. A distribution means 231 distributes security information at every virtual LAN. A reception means receives multicast data and the like processed based on security information from the communication terminal in virtual LAN. A decoding means decodes multicast data and the like. A detection means detects virtual LAN to which a terminal serving as a destination of multicast data and the like belong. A processing means 233 processes multicast data and the like based on security information corresponding to virtual LAN. A transmission means transmits processed multicast data and the like to the terminal serving as the destination of multicast data and the like. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、無線ネットワークにおけるセキュリティに関する基地局、中継装置及び通信システム。
【０００２】
【従来の技術】
昨今、携帯可能なノートパソコンの普及にともなって、ＩＥＥＥ８０２．１１に代表される無線ＬＡＮが、ケーブルに縛られることのないその利便性から、広く用いられるようになっている。また、最大で５４Ｍｂｐｓの伝送速度を持つＩＥＥＥ８０２．１１ａの登場により、今後益々普及が進むと考えられる。その一方で無線の持つ特徴から、悪意の第３者に容易に通信を傍受されるという危険性もあわせもっている。現行の無線ＬＡＮにおいては、ユーザないしは無線端末ごとの認証の手段はなく、またデータの暗号方式も全ての端末で共通の鍵を用いた暗号化方式（例えば、非特許文献１参照）で、既に脆弱性が指摘されている。その中でユーザごとの認証が行えるＩＥＥＥ８０２．１Ｘを無線ＬＡＮに拡張した方式が提案され、またユーザごとに異なる鍵を用いて暗号化通信を行う方式が登場している。
【０００３】
また、別の技術として仮想ＬＡＮと呼ばれる、物理的には同一セグメントに属するネットワークを識別タグをフレームに付加することで、論理的に複数のセグメントに分離する技術も確立されている。
【０００４】
【非特許文献１】
ＩＥＥＥ Ｓｔｄ ８０２．１Ｑ−１９９８， ”ＩＥＥＥ Ｓｔａｎｄａｒｄｓ ｆｏｒ Ｌｏｃａｌ ａｎｄ Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋｓ： Ｖｉｒｔｕａｌ Ｂｒｉｄｇｅｄ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成１５年３月１日検索］、
インターネット＜ｈｔｔｐ：／／ｓｔａｎｄａｒｄｓ．ｉｅｅｅ．ｏｒｇ／ｇｅｔｉｅｅｅ８０２／ｄｏｗｎｌｏａｄ／８０２．１Ｑ−１９９８．ｐｄｆ＞
【０００５】
【発明が解決しようとする課題】
ＩＥＥＥ８０２．１１に代表される無線ネットワークにおいては、その利便性に付随してセキュリティ面に多くの課題を残している。そのような中で異なる仮想ＬＡＮに属する無線端末を互いの仮想ＬＡＮの独立性を保持したまま、かつユーザが仮想ＬＡＮのフレーミングを意識することなく収容できる技術が今後重要になってくると考える。しかしながら現状のＩＥＥＥ８０２．１Ｘの無線ＬＡＮ拡張方式のみでは、ユニキャストフレームに関するセキュリティ情報（暗号に用いる鍵など）は無線端末ごとに変えることができるが、マルチキャスト／ブロードキャストフレームに関しては全ての端末で同一のセキュリティ情報を用いることしかできない。
【０００６】
そこで本発明では認証されたユーザ、あるいは無線端末が、認証の時に通知された識別情報をもとに仮想ＬＡＮにセキュリティを確保して収容することができ、かつ複数の仮想ＬＡＮを収容した際には仮想ＬＡＮごとに異なるマルチキャスト／ブロードキャスト情報を設定することで、仮想ＬＡＮ間のセキュリティも確保して収容することのできるシステムを提案する。
【０００７】
【課題を解決するための手段】
本発明の基地局は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末が行う通信を仮想ＬＡＮを介して転送する基地局において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を備えている。
【０００８】
また、本発明の基地局は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して転送し、有線端末に有線で接続している基地局において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、マルチキャストデータ及びブロードキャストデータのいずれかを有線端末から受信するデータ受信手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を備えている。
【０００９】
さらに、本発明の基地局は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して転送し、有線端末に有線で接続している基地局において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末に、復号したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を備えている。
【００１０】
本発明の中継装置は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末が行う通信を仮想ＬＡＮを介して中継する基地局に接続する中継装置において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から基地局を介して受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、復号されたマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ又はブロードキャストデータを基地局を介して送信するセキュリティ処理データ送信手段を備えている。
【００１１】
また、本発明の中継装置は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して中継し、有線端末に有線で接続している基地局に接続する中継装置において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、マルチキャストデータ及びブロードキャストデータのいずれかを有線端末から受信するデータ受信手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを基地局を介して送信するセキュリティ処理データ送信手段を備えている。
【００１２】
さらに、本発明の中継装置は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して中継し、有線端末に有線で接続している基地局に接続する中継装置において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から基地局を介して受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末に、復号したマルチキャストデータ及びブロードキャストデータのいずれかを基地局を介して送信するセキュリティ処理データ送信手段を備えている。
【００１３】
本発明の通信システムは、仮想ＬＡＮ情報を含んでいるビーコンフレームをブロードキャストする送信手段を具備する基地局と、仮想ＬＡＮ情報を取得する情報取得手段と、取得された仮想ＬＡＮ情報に基づいて基地局に接続することが可能か否かを判定する接続判定手段と、基地局に接続することが可能であると判定した場合に基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を備えている。
【００１４】
また、本発明の通信システムは、通信端末からのプローブ要求フレームを受信する受信手段と、プローブ要求フレームに応答して仮想ＬＡＮ情報を含んでいるプローブ応答フレームを通信端末に送信する送信手段とを具備する基地局と、プローブ要求フレームをブロードキャストする送信手段と、仮想ＬＡＮ情報を取得する取得手段と、取得された仮想ＬＡＮ情報に基づいて基地局に接続することが可能か否かを判定する判定手段と、基地局に接続することが可能であると判定した場合に基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を備えている。
【００１５】
本発明の通信システムは、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末が行う通信を仮想ＬＡＮを介して中継する基地局からなる通信システムにおいて、仮想ＬＡＮごとにセキュリティ情報を生成するセキュリティ情報生成手段と、生成したセキュリティ情報を対応する仮想ＬＡＮに配信するセキュリティ情報配信手段を具備する認証サーバと、基地局から仮想ＬＡＮ情報を取得する取得手段と、取得した仮想ＬＡＮ情報に基づいて基地局に接続することが可能か否かを判定する判定手段と、基地局に接続することが可能であると判定した場合に基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末と、セキュリティ情報を取得するセキュリティ情報取得手段と、取得したセキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを通信端末から受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、発見された仮想ＬＡＮに対応するセキュリティ情報に基づいて、復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備する基地局を具備することを備えている。
【００１６】
以上の構成によれば、各仮想ＬＡＮをセグメント間のセキュリティを確保したまま分離し、適切なフレームの転送を行うことが可能となる。
【００１７】
例えば、ＩＥＥＥ８０２．１１に代表される無線ネットワークにおいて、認証された無線端末が、認証の時に通知されたセキュリティ情報をもとに仮想ＬＡＮにセキュリティを確保して収容することができる。
さらに、その際に仮想ＬＡＮごとに異なるマルチキャスト／ブロードキャスト情報を設定することで、仮想ＬＡＮ間のセキュリティも確保して収容することができる。
【００１８】
加えて無線基地局は遠隔のＶＰＮサーバとＶＰＮトンネルを生成することで、物理的に遠隔にあるネットワークの仮想ＬＡＮの収容も可能となり、これによって例えば、公衆無線ＬＡＮ基地局から社内ネットワークにセキュリティを保持したまま接続することも可能となる。
【００１９】
また、上記の中継装置によれば、既存の無線基地局を改良することなく、各仮想ＬＡＮをセグメント間のセキュリティを確保したまま分離し、適切なフレームの転送を行うことが可能となる。
【００２０】
【発明の実施の形態】
以下、図面を参照しながら発明の基地局、中継装置及び通信システムに関する実施の形態を説明する。
図１は、本発明の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図である。
ネットワーク１０１、１０２は複数のサブネットワーク（図示せず）とそれぞれを相互接続するルータ（図示せず）から構成されている。ネットワーク１０１、１０２は、互いに独立に管理されるネットワークである。具体的には社内イントラネットなどが挙げられるが、社内イントラネットに限定するものではない。ルータは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のルーティング機能を実現する。
【００２１】
各サブネットワークは、いわゆるＬＡＮセグメントに対応している。ＬＡＮセグメントは物理的なセグメントである場合もあれば、論理的に構成されているセグメントである場合もある。後者の場合が、いわゆる仮想ＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ：ＶＬＡＮ）によるＬＡＮセグメントである。図１では仮想ＬＡＮ１３１、１３２はネットワーク１０１のサブネットワークであり、仮想ＬＡＮ１３３、１３４は後述するＶＰＮトンネルによりネットワーク１０２のサブネットワークである。
【００２２】
ネットワーク１０１とｔｈｅ Ｉｎｔｅｒｎｅｔはゲートウェイ１６１により相互接続されている。同様にネットワーク１０２とｔｈｅ Ｉｎｔｅｒｎｅｔはゲートウェイ１６２により相互接続されている。ゲートウェイ１６１、１６２はルータの機能を持つ。また、ネットワーク１０１、１０２は端末１５１、１５２、１５３を接続して、各端末１５１、１５２、１５３はネットワークを介してデータ通信を実行している。各端末１５１、１５２、１５３は有線で無線基地局１１１、１１２、１１３と接続している。
【００２３】
ネットワーク１０１は１つ以上の無線基地局１１１、１１２、１１３を接続している。本実施形態では、この無線基地局１１１、１１２、１１３がＩＥＥＥ８０２．１１、ないしそれに類似した無線ＬＡＮ規格に基づく基地局である。
【００２４】
無線基地局１１１、１１２、１１３はそれぞれ１つ以上の無線端末を収容することができる。無線端末１４１、１４２は仮想ＬＡＮ１３１に属し、無線端末１４３は仮想ＬＡＮ１３２に属し、無線端末１４４は仮想ＬＡＮ１３３に属し、無線端末１４５、１４６は仮想ＬＡＮ１３４に属している。図１では、無線基地局１１１が無線端末１４１、１４２、１４３を収容し、無線基地局１１２が無線端末１４４、１４５、１４６を収容している。
【００２５】
さらに、ネットワーク１０１、１０２はそれぞれ認証・管理サーバ１２１、１２２を接続している。認証・管理サーバ１２１は各無線端末１４１、１４２、１４３、１４４、１４５、１４６、ないしそのユーザのうち、ネットワーク１０１に属するものに関する認証とセキュリティ情報の生成及び配信を行う。さらに認証・管理サーバ１２１は各無線端末がどの仮想ＬＡＮに属しているかという対応関係、ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）設定のポリシーを管理している。図１では、認証・管理サーバ１２１は、ネットワーク１０１のサブネットワークである仮想ＬＡＮ１３１、１３２に属する無線端末１４１、１４２、１４３を管理する。
【００２６】
同様に認証・管理サーバ１２２は各無線端末１４１、１４２、１４３、１４４、１４５、１４６、ないしそのユーザのうち、ネットワーク１０２に属するものに関する認証とセキュリティ情報の生成及び配信を行う。さらに認証・管理サーバ１２２は各無線端末がどの仮想ＬＡＮに属しているかという対応関係、ＱｏＳ設定のポリシーを管理している。図１では、認証・管理サーバ１２２は、ネットワーク１０２のサブネットワークである仮想ＬＡＮ１３３、１３４に属する無線端末１４４、１４５、１４６を管理する。
【００２７】
以上の構成により、各無線端末１４１、１４２、１４３、１４４、１４５、１４６を適切な仮想ＬＡＮ１３１、１３２、１３３、１３４に帰属させ、各仮想ＬＡＮをセグメント間のセキュリティを確保したまま分離し、適切なフレームの転送を行う。これによって、ブロードキャスト／マルチキャストセキュリティ情報は仮想ＬＡＮごとに設定することができ、仮想ＬＡＮごとのセキュリティも確保することができる。
【００２８】
ネットワーク１０２はＶＰＮサーバ１７１を接続している。ＶＰＮサーバ１７１は、ＰＰＴＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）、Ｌ２ＴＰに代表されるＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）のサーバ機能をもち、ＶＰＮ機能を持つクライアントからのＶＰＮトンネル生成の要求に応答し、ＶＰＮトンネルを生成することができる。図１では、無線基地局１１２は、ネットワーク１０２のサブネットワークである、仮想ＬＡＮ１３３、１３４に属する無線端末を収容するために、後述するＶＰＮ機能２１２とＶＰＮサーバ１７１の間でＶＰＮトンネルを生成する。これによって物理的には異なるネットワークに属する無線基地局１１２が、論理的にはネットワーク１０２と同じネットワークに属することができる。
【００２９】
セキュリティ上の理由から、ゲートウェイ１６１、１６２はさらにファイアウォールの機能を持っていても良い。また、ゲートウェイ１６１、１６２は、必ずしも物理的に一つの装置から構成される必要は無く、ルータやファイアウォールなど複数の物理的な装置とそれらを相互接続するネットワーク（サブネットワーク）の組合せで構成される場合もあり得る。
本実施形態の無線基地局は、ＩＥＥＥ８０２．１１、ないしそれに類似した無線ＬＡＮ規格に基づくものであるが、一般には無線技術をこれらの規格に限る必要は無く、また複数種類の無線技術が１つのネットワークに混在しても良い。
認証・管理サーバ１２１、１２２は複数の物理的な装置によって構成されていても良い。
【００３０】
図２は、図１の無線基地局１１１、１１２、１１３のブロック図である。ここでは無線基地局１１１、１１２、１１３を代表して無線基地局１１１について説明する。
制御・管理機能２０１は、セキュリティ制御・管理機能２０２、ＶＬＡＮ制御・管理機能２０３、ＱｏＳ制御・管理機能２０４を含み、無線基地局１１１が実行するセキュリティ、仮想ＬＡＮ、通信のサービス品質（ＱｏＳ）に関する制御及び管理を行う。
セキュリティ制御・管理機能２０２は、仮想ＬＡＮごとのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報に関する制御及び管理を行う。また、セキュリティ制御・管理機能２０２は、無線端末ごとのユニキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報に関する制御及び管理も行う。
【００３１】
ＶＬＡＮ制御・管理機能２０３は、指定された仮想ＬＡＮに無線端末を収容するように制御し、仮想ＬＡＮを管理する。ＶＬＡＮ制御・管理機能２０３が、セキュリティ制御・管理機能２０２に指示を出力して、仮想ＬＡＮのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報を、セキュリティ機能２３３が無線端末に送信するように制御させる。
【００３２】
また、ＶＬＡＮ制御・管理機能２０３は、仮想ＬＡＮが無線基地局１１１に既に組み込まれている状況の下では、セキュリティ制御・管理機能２０２を指示して、仮想ＬＡＮのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報を、後述するセキュリティ機能２３３が無線端末に送信するように制御する。
【００３３】
例えば、ビーコンフレーム（Ｂｅａｃｏｎ Ｆｒａｍｅ）に埋め込まれる仮想ＬＡＮに関する情報は、無線基地局１１１のＶＬＡＮ制御・管理機能２０３を使って、予め適当に設定されている。設定される内容は、ＶＬＡＮ制御・管理機能２０３が、無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４を適当に制御することにより、ビーコンフレームに反映される。
【００３４】
無線基地局のＱｏＳ制御・管理機能２０４は、仮想ＬＡＮ内のユーザデータに割り当てる帯域を設定することのできる最大帯域の制限や最低保証帯域を規定する。無線基地局のＱｏＳ制御・管理機能２０４は、ＶＬＡＮごとに最大帯域が設定されているような場合に、無線ＭＡＣ／ＤＬレイヤ２３１のＱｏＳ機能２３５に指示することで、この仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御する。
【００３５】
ルーティング機能２１１は、ＩＰの機能を実現し、無線端末及びネットワーク１０１との間でデータパケットを送受信する。また、ルーティング機能２１１は、ＶＰＮ機能２１２を含んでいる。ＶＰＮ機能２１２は、必要なＶＰＮを設定する場合に動作する。ＶＬＡＮ制御・管理機能２０３が、必要なＶＰＮを設定するためにＶＰＮ機能２１２を制御する。例えば、上述したようにＬ２ＴＰやＰＰＴＰなどを用いてトンネルを生成する処理を行う。図１では、無線基地局１１２は、ネットワーク１０２のサブネットワークである仮想ＬＡＮ１３３、１３４を収容するために、ＶＰＮサーバ１７１との間に、ＶＬＡＮ制御・管理機能２０３を用いてＶＰＮトンネルを生成している。さらにＶＬＡＮ制御・管理機能２０３は、ＩＰＳｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）で指定された接続先との間にトンネルを生成してもよい。
【００３６】
ブリッジ機能２２１はＶＬＡＮ機能２２２とＱｏＳ機能２２３を含んでいる。ＶＬＡＮ機能２２２は、無線側と有線側の間をブリッジして、無線側と有線側との間の通信を可能にする。ＱｏＳ機能２２３は、無線端末の帯域の保証や制限を行った通信を可能にしたり、有線側の仮想ＬＡＮ帯域も制御する。
【００３７】
無線ＭＡＣ／ＤＬレイヤ２３１は、セキュリティ機能２３３、ＶＬＡＮ機能２３４、ＱｏＳ機能２３５を含む。セキュリティ機能２３３は無線側で送受信するフレームの暗号・認証処理を行う。
【００３８】
セキュリティ機能２３３は、送受信されるフレームがマルチキャスト又はブロードキャストフレームの場合、ＶＬＡＮ機能２３４と協調して動作することにより、仮想ＬＡＮごとに設定されているセキュリティ情報を利用して、送受信するフレームの暗号・認証処理を行う。セキュリティ機能２３３は、送受信されるフレームがユニキャストフレームの場合、無線端末ごとに設定されたセキュリティ情報を利用して、送受信するフレームの暗号・認証処理を行う。
また、セキュリティ機能２３３は、認証が成功するまでの間、認証・セキュリティ情報配信などに関する予め定められた特定のメッセージ以外のユーザデータなどに関するメッセージをブロックする。
【００３９】
ＶＬＡＮ機能２３４は、ユーザデータの交換の際に、無線基地局１１１から無線端末１４１、１４２、１４３へデータの送信をする時、無線端末１４１、１４２、１４３側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して送信する。
ＱｏＳ機能２３５は、仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御するための機能である。
【００４０】
無線物理レイヤ２４１は、無線端末と無線基地局１１１との間の無線通信を実行する際の物理レイヤである。例えば、無線ＭＡＣ／ＤＬレイヤ２３１によって生成されるビーコンフレーム、プローブ応答フレーム（Ｐｒｏｂｅ Ｒｅｓｐｏｎｓｅ Ｆｒａｍｅ）及びプローブ要求フレーム（Ｐｒｏｂｅ Ｒｅｑｕｅｓｔ Ｆｒａｍｅ）は、無線物理レイヤ２４１により無線信号として送信される。また、無線端末と無線基地局の間の通信は、ＩＰ層を用いることなく、無線基地局の無線ＭＡＣ／ＤＬレイヤ２３１と無線物理レイヤ２４１、後述する無線端末の無線ＭＡＣ／ＤＬレイヤ３３１と無線物理レイヤ３４１により、無線ＬＡＮのリンク層の機能を利用して行われる。
【００４１】
有線ＭＡＣ／ＤＬレイヤ２３２と有線物理レイヤ２４２は、イーサネット（Ｅｔｈｅｒｎｅｔ）（登録商標）へのアクセスの機能を提供する。ＶＬＡＮ機能２３６は、端末側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して宛先に送信する。ＱｏＳ機能２３７は有線側の仮想ＬＡＮ帯域を制御する場合に使用される。
【００４２】
図３は、図１の無線端末１４１、１４２、１４３、１４４、１４５、１４６のブロック図である。ここでは無線端末を代表して無線端末１４１について説明する。図３も図２の無線基地局のブロック図にある機能の名称と同一な名称は同様な機能を有している。
制御・管理機能３０１は、認証・セキュリティ情報配信、ＶＬＡＮ、ＱｏＳ設定に関する動作をそれぞれ行うセキュリティ制御・管理機能３０２、ＶＬＡＮ制御・管理機能３０３、ＱｏＳ制御・管理機能３０４を含んでいる。
【００４３】
ルーティング機能３１１は、ＩＰの機能を実現し、無線ＭＡＣ／ＤＬレイヤ３３１と無線物理レイヤ３４１がイーサネットへのアクセスの機能を提供することで、パケットを送受信する。ＶＰＮ機能３１２は、物理的には異なるネットワークに属する無線基地局１１２が、論理的にはネットワーク１０２と同じネットワークに属するためのＶＰＮトンネルに関する機能である。
【００４４】
無線端末のＶＬＡＮ制御・管理機能３０３は、無線基地局からのセキュリティ情報を受信すると、無線ＭＡＣ／ＤＬレイヤ３３１のセキュリティ機能３３３に対しこのセキュリティ情報を設定する。
【００４５】
無線物理レイヤ３４１は、無線ＭＡＣ／ＤＬレイヤ３３１とにより、無線ＬＡＮのリンク層の機能を利用して、無線端末と無線基地局の間の通信を行うために使用される。
【００４６】
図４は、図１の認証・管理サーバ１２１、１２２のブロック図である。ここでは認証・管理サーバを代表して認証・管理サーバ１２１について説明する。図４も図２の無線基地局のブロック図にある機能の名称と同一な名称は同様な機能を有している。
制御・管理機能４０１は、無線端末の制御・管理機能３０１と、無線基地局の制御・管理機能２０１又は図１０を参照して後述されるＭＡＣブリッジの制御・管理機能とにより、認証・セキュリティ情報配信、ＶＬＡＮ、ＱｏＳ設定を制御する。
【００４７】
セキュリティ制御・管理機能４０２は、主に無線端末１４１のセキュリティ制御・管理機能３０２、無線基地局１１１のセキュリティ制御・管理機能２０２との間で認証・セキュリティ情報配信、仮想ＬＡＮ設定、ＱｏＳ設定のためのメッセージを交換する。
【００４８】
ＶＬＡＮ制御・管理機能４０３は、セキュリティ情報に関しては認証・管理サーバのセキュリティ制御・管理機能４０２から、ＱｏＳに関する情報に関しては、認証・管理サーバのＱｏＳ制御・管理機能４０４から得る。
また、ＶＬＡＮ制御・管理機能４０３は、ＶＰＮの接続先を無線基地局のＶＬＡＮ制御・管理機能２０３に通知する。
さらに、ＱｏＳ制御・管理機能４０４がその無線端末のＱｏＳに関する情報を配信する。
【００４９】
ルーティング機能４１１はＩＰのルーティングを行う。また、有線ＭＡＣ／ＤＬレイヤ４３２と有線物理レイヤ４４２がイーサネットへのアクセスを実現する。
【００５０】
図５は、図１の無線端末、無線基地局、認証・管理サーバの間のメッセージ交換を示す図である。ここでは例として無線端末１４１、無線基地局１１１、認証・管理サーバ１２１の場合について説明する。他の無線端末１４２又は１４３、無線基地局１１１、認証・管理サーバ１２１の場合も、無線端末１４４、１４５又は１４６、無線基地局１１２、認証・管理サーバ１２１の場合も以下の説明が適用される。
第１段階では、無線端末１４１と無線基地局１１１との間に無線リンクを確立する。第２段階では、認証・管理サーバ１２１を介して、無線端末１４１と無線基地局１１１の間での認証、ユーザデータ交換の段階の秘匿・認証に用いるセキュリティ情報の配信、仮想ＬＡＮの設定、ＱｏＳの設定などを行う。なお、第２段階で挙げた内容の全てが常に実行される必要は無く、適切な部分のみが実行されれば良い。第３段階でユーザデータの交換が行われる。各段階では複数のメッセージ交換がなされても良い。また、この段階の別け方は典型的であるが、必ずしもこのような段階に分かれている必要は無く、以上の動作が実行されればよい。
【００５１】
第１段階は、ＩＥＥＥ８０２．１１の典型的な場合には、無線端末１４１が行う無線基地局１１１のプローブ要求とそれに対する無線基地局１１１のプローブ応答による１つ以上の無線基地局１１１の発見と、無線端末１４１と適切に選択された無線基地局１１１との間の認証と、アソシエーション確立とによって構成される。
【００５２】
なお、無線端末１４１はプローブせずに無線基地局１１１が定期的に送信するビーコンの受信によりアソシエーションする相手の無線基地局１１１を選択しても良い。さらに、ＩＥＥＥ８０２．１１をＩＥＥＥ８０２．１Ｘの認証で拡張したような場合には、上記の認証（ＩＥＥＥ８０２．１１のＷＥＰベースの認証）を行わず第２段階でＩＥＥＥ８０２．１Ｘの手順により認証を行う。この場合、第１段階が終了しても、無線基地局１１１は、認証に必要なフレームのみの交換を許容し、一般のユーザデータの交換は認証されるまで禁止する。以下では、ＩＥＥＥ８０２．１Ｘないしそれに類似した認証を行う場合を想定する。
【００５３】
仮想ＬＡＮをサポートするため、第１段階を拡張する。拡張の目的は、無線端末が、仮想ＬＡＮに対応する無線端末を適切な仮想ＬＡＮに収容できる無線基地局を選択することにある。選択の必要性を以下に例示する。
【００５４】
（１）仮想ＬＡＮに対応していないレガシーな無線基地局がネットワークに混在する状況があり得る。例えば図６では、無線基地局１１３が仮想ＬＡＮに対応していない。仮想ＬＡＮに対応する無線端末１４１は、仮想ＬＡＮ拡張に対応している無線基地局１１１又は１１２と通信するように適切な選択を可能にしなければならない。
【００５５】
（２）ある無線基地局が全ての仮想ＬＡＮに接続されている、ないし接続可能とは限らないという状況もあり得る。例えば、図６の無線基地局１１１は仮想ＬＡＮ１、２に接続しているが動的に仮想ＬＡＮを構成する機能を持たない。一方図６の無線基地局１１２は仮想ＬＡＮ３、４に接続しておりかつ動的に仮想ＬＡＮを構成する機能を持っている。この場合、例えば仮想ＬＡＮ４ないし仮想ＬＡＮ５に属する無線端末は、無線基地局１１２と接続されるべきである。
【００５６】
なお、ここでの動的という表現は、なんらかの手段で無線端末の収容状態の変化に応じて仮想ＬＡＮの設定変更が可能であるという意味で、必ずしもＩＥＥＥ８０２．１Ｑにおけるｄｙｎａｍｉｃ／ｓｔａｔｉｃの分類と一致する訳ではない。
【００５７】
具体的な拡張の方法はこのほかにもある。例えば、ＩＥＥＥ８０２．１１の場合、無線基地局が送信するプローブ応答フレームないしビーコンフレームに、仮想ＬＡＮに関する情報を埋め込むことが考えられる。この一つの方法としてＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｅｒ）に仮想ＬＡＮ情報をエンコードする方法がある。
【００５８】
具体的なエンコードの方法として、例えば、無線基地局が仮想ＬＡＮをサポートしているか否かという情報を適当なビット列で表現し、接続している仮想ＬＡＮの番号をビットマップで表現し、さらに動的に仮想ＬＡＮを構成することができるか否かの表現にビットを割り当てる。ＳＳＩＤはネットワークの管理者又は運用者が設定できるので、この方法はＩＥＥＥ８０２．１１の仕様を変えずに、同一の管理・運用ドメイン内のローカルな規約として実現できる。ただし、ＳＳＩＤの最大長は３２ｏｃｔｅｔｓなので、ドメインで構成されている仮想ＬＡＮの数によってはビットマップ表現が困難である。
【００５９】
別の方法として、ＩＥＥＥ８０２．１１の仕様自体を仮想ＬＡＮに関する情報を含むように拡張することも考えられる。例えばケイパビリティ・インフォメーション・フィールド（ｃａｐａｂｉｌｉｔｙ ｉｎｆｏｒｍａｔｉｏｎ ｆｉｅｌｄ）に仮想ＬＡＮ拡張の有無を示すビットを割当て、接続している仮想ＬＡＮの番号のビットマップや動的構成などの情報を示すインフォメーション・エレメント（Ｉｎｆｏｒｍａｔｉｏｎ ｅｌｅｍｅｎｔ）を追加しても良い。さらにプローブ応答（Ｐｒｏｂｅ Ｒｅｓｐｏｎｓｅ）やビーコン（Ｂｅａｃｏｎ）以外に仮想ＬＡＮに関するフレームを新規に規定しても良い。
【００６０】
このように選択した無線基地局、例えば無線基地局１１１に対し、無線端末１４１は無線リンクの設定を要求する。ＩＥＥＥ８０２．１１の場合には、無線端末１４１が、無線基地局１１１に対し、アソシエーション要求フレーム（Ａｓｓｏｃｉａｔｉｏｎ Ｒｅｑｕｅｓｔ Ｆｒａｍｅ）ないし、リアソシエーション要求フレーム（Ｒｅａｓｓｏｃｉａｔｉｏｎ Ｒｅｑｕｅｓｔ Ｆｒａｍｅ）を送信する。後者は別の無線基地局から無線基地局１１１にハンドオフする場合に対応し、前の無線基地局での認証の結果を用いて認証の手順などを最適化する余地があるが、ここではアソシエーション要求（Ａｓｓｏｃｉａｔｉｏｎ Ｒｅｑｕｅｓｔ）の場合を想定する。既に述べたように、ここではＩＥＥＥ８０２．１Ｘないしそれに類似する認証を第２段階で行うことを前提としているので、ＩＥＥＥ８０２．１１のアソシエーション設定に先立つ認証はあっても良いが、本質的には不要である。無線基地局１１１からのアソシエーション応答（Ａｓｓｏｃｉａｔｉｏｎ Ｒｅｓｐｏｎｓｅ）がアソシエーション設定の成功を示していれば、無線端末１４１と無線基地局１１１の間で、無線リンクが確立した状態になり、第１段階が終了する。
【００６１】
第２段階では、認証・管理サーバ１２１を介して、無線端末１４１と無線基地局１１１の間での認証、ユーザデータ交換の段階の秘匿・認証に用いるセキュリティ情報の配信、仮想ＬＡＮの設定、ＱｏＳの設定などを行う。なお、第２段階でこれらの機能が必ずしも全て必要という訳ではない。
【００６２】
例えばＩＥＥＥ８０２．１１の場合、ＩＥＥＥ８０２．１Ｘの無線ＬＡＮ対応の拡張により認証・管理サーバ１２１を介して、無線端末１４１と無線基地局１１１の間での認証、ユーザデータ交換の段階の秘匿・認証に用いるセキュリティ情報の配信を行う場合が多い。この手順を拡張することにより、仮想ＬＡＮの設定、ＱｏＳの設定を行うことができる。また、認証とセキュリティ情報の配信には、ＩＥＥＥ８０２．１Ｘ以外のプロトコルを使うことも可能であり、その場合も類似の方法で仮想ＬＡＮの設定、ＱｏＳの設定を行うことができる。
【００６３】
第３段階では、無線端末１４１はネットワーク内の端末１５１とデータ送受信を行うことができる。ユーザデータの交換の際には、無線基地局１１１から無線端末１４１へデータの送信をする時は無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４を用いて端末側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末１４１が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して送信する。
【００６４】
また、無線基地局１１１は、セキュリティ機能２３３を用いてフレームを送信する。ユニキャストフレームの場合は無線端末ごとに設定されたセキュリティ情報を用いて、マルチキャスト又はブロードキャストフレームの場合は仮想ＬＡＮごとに設定されたセキュリティ情報を用いて送信する。その無線端末にＱｏＳの設定がなされている場合はＱｏＳ機能２３５を用いて無線端末に決められた帯域を確保したり、決められた帯域に制限したりする形でフレームを送信する。無線端末からのフレームを受信した際には、その無線端末のセキュリティ情報を用いて複号し、その無線端末が属する仮想ＬＡＮのタグを付加して有線側に送信する。
以上の手順を踏まえることで、仮想ＬＡＮの間で独立性を保持した状態で複数の仮想ＬＡＮを収容したシステムを構成することができる。
【００６５】
図６は、図５の第１段階での図１の無線端末１４１が無線基地局１１１、１１２、又は１１３を選択する様子を示す図である。図６は無線端末１４１が適切な仮想ＬＡＮに対応している無線基地局を選択する状況を例示している。無線端末１４１から無線が到達可能な無線基地局１１１、１１２、１１３の３つあり、いずれか適当な無線基地局を選択する余地がある状況である。
図６で、無線端末１４１は、無線基地局１１１が定期的に送信するビーコンフレームを受信して、無線基地局１１１が仮想ＬＡＮ１、２と接続しておりかつ仮想ＬＡＮを動的に追加することはできないことを検出する。なお、このビーコンフレームは、無線基地局１１１の無線ＭＡＣ／ＤＬレイヤ２３１によって生成され、無線物理レイヤ２４１により無線信号として送信される。
【００６６】
この際にビーコンフレームに埋め込まれる仮想ＬＡＮに関する情報は、無線基地局１１１のＶＬＡＮ制御・管理機能２０３を使って、予め適当に設定されている。設定される内容は、接続する仮想ＬＡＮと、仮想ＬＡＮの動的な追加を行うか否かなどである。設定された内容は、ＶＬＡＮ制御・管理機能２０３が、無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４を適当に制御することにより、ビーコンフレームに反映される。
【００６７】
ＶＬＡＮ制御・管理機能２０３は、管理者がローカルにこの仮想ＬＡＮに関する情報を設定するユーザインタフェース機能を提供する。管理者によるこの設定は、例えば認証・管理サーバ１２１からリモートに行われても良い。この際には、認証・管理サーバ１２１のＶＬＡＮ制御・管理機能４０３が管理者に対するユーザインタフェース機能を持ち、無線基地局１１１のＶＬＡＮ制御・管理機能２０３と相互に通信して適当な設定を行う。
【００６８】
この通信は、例えばよく知られたＩＰやイーサネットの機能により行われる。つまり、必要なパケットはネットワーク１０１のＩＰの機能により、無線基地局１１１と認証・管理サーバ１２１の間で、適切にルーティングされる。無線基地局１１１では、ルーティング機能２１１がＩＰの機能を実現し、有線ＭＡＣ／ＤＬレイヤ２３２と有線物理レイヤ２４２がイーサネットへのアクセスの機能を提供することで、このパケットを送受信する。
【００６９】
同様に、認証・管理サーバ１２１のルーティング機能４１１がＩＰのルーティングを行い、有線ＭＡＣ／ＤＬレイヤ４３２と有線物理レイヤ４４２がイーサネットへのアクセスを実現することで、これらのパケットを送受信する。
【００７０】
別の例として、仮想ＬＡＮに関するフレームを定義した場合、無線基地局１１１が定期的に送信する仮想ＬＡＮに関するフレームを受信することにより、無線端末１４１は無線基地局１１１が仮想ＬＡＮ１、２と接続しておりかつ仮想ＬＡＮを動的に追加することはできないことを検出することもできる。
【００７１】
また別の方法として、無線端末１４１が送信した問い合わせ信号（例えばＩＥＥＥ８０２．１１のプローブ要求（Ｐｒｏｂｅ Ｒｅｑｕｅｓｔ））に対する無線基地局１１２のプローブ応答（Ｐｒｏｂｅ Ｒｅｓｐｏｎｓｅ）により方法がある。この方法によると図８の例では、無線端末１４１が、無線基地局１１２が仮想ＬＡＮ３、４と接続しておりかつ仮想ＬＡＮを動的に追加可能であることを、認識する場合を示している。
【００７２】
プローブ要求フレームは、無線端末１４１の無線ＭＡＣ／ＤＬレイヤ３３１によって生成され、無線物理レイヤ３４１により無線信号として送信される。プローブ応答フレームは、無線基地局１１１の無線ＭＡＣ／ＤＬレイヤ２３１によって生成され、無線物理レイヤ２４１により無線信号として送信される。この際にプローブ応答フレームに埋め込まれる仮想ＬＡＮに関する情報は、無線基地局１１２のＶＬＡＮ制御・管理機能２０３を使って、予め適当に設定されている。無線基地局１１２への仮想ＬＡＮの設定は無線基地局１１１への設定方法に準ずる。
【００７３】
また、仮想ＬＡＮに関するフレームを定義した場合、その問い合わせフレームと応答フレームのやり取りにより、無線基地局１１２が仮想ＬＡＮ３、４と接続しており、かつ仮想ＬＡＮを動的に追加可能であることを、無線端末１４１が認識することもできる。
【００７４】
図６の無線基地局１１３は仮想ＬＡＮ拡張に対応していない。無線端末１４１は問い合わせに対して適当な応答が返ってこないことで、無線基地局１１３が仮想ＬＡＮ拡張に対応していないことを認識する。一例として、無線端末１４１が問い合わせとして送信したプローブ要求に対するプローブ応答に仮想ＬＡＮ拡張を示す情報が含まれていない場合がある。別の例として、仮想ＬＡＮに関するフレームを定義した場合、その問い合わせフレームに応答が返ってこないことで、無線基地局１１３が仮想ＬＡＮ拡張に対応していないことを無線端末１４１が認識する場合もあり得る。
【００７５】
このようにして無線の到達範囲内にある無線基地局１１１、１１２、１１３それぞれの仮想ＬＡＮサポート状態を認識した無線端末１４１は、自分が属している仮想ＬＡＮを収容可能な無線基地局を選択する。無線端末１４１が属する仮想ＬＡＮに関する情報は、無線端末１４１のＶＬＡＮ制御・管理機能３０３により予め設定されているものとする。設定される内容は、無線端末１４１ないしはそのユーザが属する仮想ＬＡＮなどである。ＶＬＡＮ制御・管理機能３０３は、管理者ないしユーザが、ローカルにこの情報を設定するユーザインタフェース機能を提供する。
【００７６】
管理者ないしユーザによるこの設定は、例えば認証・管理サーバ１２１、１２２からリモートに行われても良い。この際には、認証・管理サーバ１２１、１２２のＶＬＡＮ制御・管理機能４０３が管理者ないしユーザに対するユーザインタフェース機能を持ち、無線端末１４１のＶＬＡＮ制御・管理機能３０３と相互に通信して適当な設定を行う。この通信は、例えばよく知られたＩＰやイーサネットの機能により行われる。つまり、必要なパケットはネットワーク１０１のＩＰの機能により、無線端末１４１と認証・管理サーバ１２１、１２２の間で、適切にルーティングされる。
【００７７】
無線基地局１１１では、ルーティング機能２１１がＩＰの機能を実現し、有線ＭＡＣ／ＤＬレイヤ２３２と有線物理レイヤ２４２がイーサネットへのアクセスの機能を提供することで、このパケットを送受信する。同様に、無線端末１４１では、認証・管理サーバ１２１、１２２のルーティング機能４１１がＩＰのルーティングを行い、有線ＭＡＣ／ＤＬレイヤ４３２と有線物理レイヤ４４２がイーサネットへのアクセスを実現することで、これらのパケットを送受信する。
【００７８】
例えば、無線端末１４１が仮想ＬＡＮ１に属している場合には、無線基地局１１１ないし無線基地局１１３を選択する。無線端末１４１が仮想ＬＡＮ２に属している場合には、無線基地局１１１を選択する。無線端末１４１が仮想ＬＡＮ４に属している場合には、無線基地局１１２を選択する。無線端末１４１が仮想ＬＡＮ５に属している場合には、仮想ＬＡＮの動的な追加が可能な無線基地局１１２を選択する。無線端末１４１が仮想ＬＡＮに属していない場合には、無線基地局１１１、１１２、１１３のいずれを選んでも良い。
【００７９】
図７は、図６の無線端末１４１が無線基地局からのビーコンフレームにより無線基地局１１１、１１２又は１１３を選択するためのシーケンス図である。図７は、ＩＥＥＥ８０２．１１のビーコンフレームを用いて無線基地局の仮想ＬＡＮ情報を無線端末１４１が取得する際のメッセージの一例を示す。
無線基地局１１１、１１２、１１３は定期的にビーコンフレームを送信しており（Ｓ２１、Ｓ２２、Ｓ２３）、無線端末１４１は接続すべき無線基地局を探す目的でビーコンフレームを受信する。このフレーム内の仮想ＬＡＮ情報より、無線端末１４１は、無線基地局１１１が仮想ＬＡＮ１、２を収容可能でかつ動的に追加不可能であると検出する。同様に無線端末１４１は、無線基地局１１２が仮想ＬＡＮ３、４を収容可能でかつ動的に追加可能であると検出し、無線基地局１１３はビーコンフレーム内に仮想ＬＡＮ情報を含まないレガシーな無線基地局なので仮想ＬＡＮの収容はできないと検出する。
【００８０】
この結果、無線端末１４１が仮想ＬＡＮ１に属する端末であるとすると、接続すべき無線基地局が無線基地局１１１、１１２であると判断し、図７においてはそのうちの無線基地局１１１と無線リンクを確立する。
【００８１】
図８は、図６の無線端末１４１が無線基地局からのプローブ応答により無線基地局１１１、１１２又は１１３を選択するためのシーケンス図である。図８は、ＩＥＥＥ８０２．１１のプローブ要求／Ｒｅｓｐｏｎｓｅを用いて無線基地局の仮想ＬＡＮ 情報を無線端末が取得する際のメッセージの一例を示す。
無線端末１４１は接続すべき無線基地局を探す目的でプローブ要求フレームをブロードキャスト宛に送信する。このプローブ要求フレームを受信した無線基地局１１１、１１２、１１３は無線端末１４１に対してプローブ応答フレームを送信する。このプローブ応答フレーム内の仮想ＬＡＮ情報より、無線基地局１１１は仮想ＬＡＮ１、２を収容可能でかつ動的に追加不可能であると検出する。同様に無線端末１４１は、無線基地局１１２が仮想ＬＡＮ３、４を収容可能でかつ動的に追加可能であると検出し、無線基地局１１３はビーコンフレーム 内に仮想ＬＡＮ情報を含まないレガシーな無線基地局なので仮想ＬＡＮの収容はできないと検出する。
【００８２】
この結果、無線端末１４１が仮想ＬＡＮ１に属する端末であるとすると、接続すべき無線基地局が無線基地局１１１、１１２であると判断し、図８においてはそのうちの無線基地局１１１と無線リンクを確立する。
【００８３】
図９は、図５の第２段階での図１の無線端末、無線基地局、認証・管理サーバの間のメッセージ交換のシーケンス図である。図５と同様に、例として無線端末１４１、無線基地局１１１、認証・管理サーバ１２１の場合について説明する。図５と同様に他の組合せでも以下の説明が適用される。
図９に、ＩＥＥＥ８０２．１Ｘをさらに仮想ＬＡＮ、ＱｏＳ設定が出来るように拡張した認証・セキュリティ情報配信、仮想ＬＡＮ設定、ＱｏＳ設定のためのメッセージ交換の一例を示す。最初に、ＩＥＥＥ８０２．１Ｘの従来からある無線ＬＡＮ対応の拡張の場合を説明し、仮想ＬＡＮ、ＱｏＳ設定が出来るように拡張した部分はその後で説明する。
【００８４】
以下のメッセージ交換は、主に無線端末１４１のセキュリティ制御・管理機能３０２、無線基地局１１１のセキュリティ制御・管理機能２０２、認証・管理サーバ１２１のセキュリティ制御・管理機能４０２の間で行われる。無線端末１４１と無線基地局１１１の間の通信は、ＩＰ層は用いず、無線基地局１１１の無線ＭＡＣ／ＤＬレイヤ２３１と無線物理レイヤ２４１、無線端末１４１の無線ＭＡＣ／ＤＬレイヤ３３１と無線物理レイヤ３４１により、無線ＬＡＮのリンク層の機能を利用して行われる。
【００８５】
ここで、以下の一連の認証・セキュリティ情報配信などに関する予め定められた特定のメッセージ以外の、ユーザデータなどに関するメッセージは、認証が成功するまでの間、無線基地局１１１のセキュリティ機能２３３及び無線端末１４１のセキュリティ機能３３３によってブロックされる。ＩＥＥＥ８０２．１Ｘでは、無線端末１４１と無線基地局１１１との間のメッセージは、ＥＡＰＯＬ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ ＬＡＮ）というプロトコルに従う。ＥＡＰＯＬは、元来はｐｐｐの認証方法を拡張する目的で開発されたＥＡＰを、ＩＥＥＥ８０２系のＬＡＮ上でも利用できるようにするために定義されたプロトコルである。無線基地局と認証・管理サーバ間のプロトコルは、ＩＰの上で動作するＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルを使う場合が多い。ＲＡＤＩＵＳもＥＡＰパケットをＲＡＤＩＵＳ属性として配送できるように拡張されている。無線基地局と認証・管理サーバ間のＩＰの通信については、ＩＥＴＦ発行のＲＦＣ２８６９“ＲＡＤＩＵＳ Ｅｘｔｅｎｓｉｏｎｓ”で既に説明されている。
【００８６】
最初に無線端末１４１は無線基地局１１１に対して、ＥＡＰＯＬ−Ｓｔａｒｔメッセージを送信する（Ｓ１）ことで、一連のメッセージ交換を起動する。無線基地局１１１は、ＥＡＰＯＬ−Ｓｔａｒｔメッセージを受信すると、ＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙメッセージを送信し（Ｓ２）、無線端末１４１ないしユーザの識別子を要求する。なお、ＥＡＰＯＬ−Ｓｔａｒｔメッセージはオプションであり、このＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙから一連のメッセージ交換を開始してもよい。すなわち、認証メッセージ交換は無線端末１４１、無線基地局１１１のいずれからも開始することができることになる。
【００８７】
無線端末１４１は、ＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ受信すると、無線基地局１１１に向けてＥＡＰ−Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙメッセージにより無線端末ないしユーザの識別子を送信する（Ｓ３）。無線基地局１１１は、ＥＡＰ−Ｒｅｓｐｏｎｓｅ／ＩｄｅｎｔｉｔｙメッセージをＲＡＤＩＵＳのＲａｄｉｕｓ−Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージに載せ替えて、認証・管理サーバに送信する（Ｓ４）。これに対し、認証・管理サーバ１２１は、無線端末１４１にＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）による認証を行うことを要求するＥＡＰ−Ｒｅｑｕｅｓｔ／ＥＡＰ−ＴＬＳメッセージを載せたＲＡＤＩＵＳのＲａｄｉｕｓ−Ａｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅメッセージを無線基地局１１１に送信し（Ｓ５）、さらにＥＡＰ−Ｒｅｑｕｅｓｔ／ＥＡＰ−ＴＬＳメッセージを無線基地局１１１が無線端末１４１に中継する（Ｓ６）。なお、ＴＬＳによる認証は一例であり、ＥＡＰでは様々な認証方式を利用することができる。
【００８８】
次に、ＥＡＰ上のＴＬＳによる認証がなされるが、このための各メッセージは省略する。これは、認証・管理サーバ１２１と無線端末１４１との間の相互認証である。無線基地局１１１は、メッセージ形式を変換して単に中継するだけで、認証に積極的に関与することは出来ない。
【００８９】
認証が成功すると、認証・管理サーバ１２１と無線端末１４１の間でセキュリティ情報が共有される。無線基地局１１１を含め認証・管理サーバ１２１と無線端末１４１以外はこのセキュリティ情報を認識することが出来ず、このセキュリティ情報はこのセッション限りの情報となる。
【００９０】
しかし、実際のユーザデータの暗号化、複号化、メッセージ認証処理を行うのは無線基地局１１１であるために、無線基地局１１１は無線端末１４１と認証・管理サーバ１２１でのみ共有されたこのセキュリティ情報が必要である。このため、認証・管理サーバ１２１がＥＡＰ−Ｓｕｃｃｅｓｓを知らせるＲＡＤＩＵＳのＡｃｃｅｓｓ−Ａｃｃｅｐｔメッセージにこのセキュリティ情報を重畳して無線基地局１１１に通知する（Ｓ７）。セキュリティ情報は、無線基地局１１１のみが複号化できるように、無線基地局１１１と認証・管理サーバ１２１との間で共有された秘密情報を用い認証・管理サーバ１２１で暗号化されているので、無線基地局１１１以外にこのセキュリティ情報が漏洩することはない。さらに無線基地局１１１から無線端末１４１に、ＥＡＰ−Ｓｕｃｃｅｓｓが中継される（Ｓ８）。
【００９１】
次に、ＥＡＰＯＬ−Ｋｅｙにより無線基地局１１１から無線端末１４１に、ユニキャスト用のセキュリティ情報とマルチキャスト又はブロードキャスト用のセキュリティ情報が通知される（Ｓ９、Ｓ１０）。これらのＥＡＰＯＬ−Ｋｅｙメッセージに対しては、ＴＬＳでの認証時に生成されたセキュリティ情報から生成した鍵によって、暗号化とメッセージ認証の処理がなされる。ユニキャスト用のセキュリティ情報とマルチキャスト又はブロードキャスト用のセキュリティ情報には、鍵、鍵の長さや鍵の識別子、初期化ベクトルなどの情報が含まれている。ここまでの内容は、従来のＩＥＥＥ８０２．１１にＩＥＥＥ８０２．１Ｘの無線ＬＡＮ拡張を適用した場合と同じである。
【００９２】
本発明における、仮想ＬＡＮをサポートする無線基地局は、無線端末が属している仮想ＬＡＮごとに、別々のマルチキャスト又はブロードキャスト用のセキュリティ情報を配信するようにする。図１の構成の場合、仮想ＬＡＮ１３１に収容されている無線端末１４１、１４２の間ではマルチキャスト又はブロードキャストメッセージは共有されるが、仮想ＬＡＮ１３２に収容される無線端末１４３はマルチキャスト又はブロードキャスト用のセキュリティ情報が無線端末１４１、１４２とは異なるので、仮想ＬＡＮ１３１のマルチキャスト又はブロードキャストフレームを無線端末１４３が受信できたとしても正しく複号化することができず、結果として各仮想ＬＡＮセグメントをセキュアに分離することができる。
【００９３】
ユニキャストのセキュリティ情報については、もともと無線端末ごとに異なるが、仮想ＬＡＮごとにユニキャストのセキュリティプロトコルの強さを変えるような制御をすることも有益な場合がある。例えば、ゲスト用の仮想ＬＡＮには広く利用されているが弱いセキュリティプロトコル（例えばＷＥＰ）を使うことを許すが、社内ユーザ用の仮想ＬＡＮには強いセキュリティプロトコルの利用以外は許容しないという運用ポリシーも有効である。
【００９４】
このような仮想ＬＡＮに対応した制御を行うために、認証・管理サーバのＶＬＡＮ制御・管理機能４０３は、上述したＲＡＤＩＵＳのＡｃｃｅｓｓ−Ａｃｃｅｐｔメッセージに、さらに仮想ＬＡＮ情報を重畳する。この仮想ＬＡＮ情報は、
（１）認証された無線端末が属する仮想ＬＡＮの識別子
（２）動的に仮想ＬＡＮを設定する場合に必要な情報、例えば、ＶＰＮのようなトンネリング技術を利用して仮想ＬＡＮを構成する際の、トンネルを終端するための接続先情報
（３）仮想ＬＡＮのセキュリティ情報、例えば、どのようなセキュリティプロトコルの使用を許容するか、鍵の大きさや鍵の更新条件などに関するポリシー情報、ないし、使用するセキュリティプロトコル種別そのものの指定情報
（４）仮想ＬＡＮのＱｏＳに関する情報。簡単な場合には、単に仮想ＬＡＮ内の最大帯域の制限や最低保証帯域を規定するなどの情報などを含む。ＶＬＡＮ制御・管理機能４０３は、セキュリティ情報に関しては認証・管理サーバのセキュリティ制御・管理機能４０２から、ＱｏＳに関する情報に関しては、認証・管理サーバのＱｏＳ制御・管理機能４０４から得る。この仮想ＬＡＮ情報を受信した無線基地局のＶＬＡＮ制御・管理機能２０３は、指定された仮想ＬＡＮに無線端末を収容するように制御する。無線基地局が仮想ＬＡＮに無線端末を収容している場合は、［１］既に無線基地局が指定された仮想ＬＡＮを組み込んでいる場合と［２］無線基地局が、無線端末が所属する仮想ＬＡＮを動的に設定する場合がある。
【００９５】
［１］既に無線基地局が指定された仮想ＬＡＮを組み込んでいる場合の動作を示す。この場合、仮想ＬＡＮの仮想ＬＡＮ識別子を含むＶＬＡＮタグを持つフレームが、無線基地局のＶＬＡＮ機能２２２によって無線側と有線側の間でブリッジされている状態が既に確立されている。さらに、無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４とセキュリティ機能２３３が協調動作することで、仮想ＬＡＮごとに設定されているセキュリティ情報を利用して、無線側で送受信するフレームの暗号・認証処理を行っている状態になっている。
【００９６】
なお、各仮想ＬＡＮのマルチキャスト又はブロードキャスト用に、それぞれ異なるセキュリティ情報、つまり異なる暗号や認証の方式や、若しくは異なる暗号・認証の鍵を用いることにより、各仮想ＬＡＮ間の独立性が保障されている。仮想ＬＡＮ識別子のみでは悪意の第３者に対する仮想ＬＡＮ間の独立が失われる。
【００９７】
例えば誰でも収容することのできる仮想ＬＡＮ（例えばゲスト用のサブネットワークなど）に悪意の第３者が収容された場合、マルチキャスト又はブロードキャスト用のセキュリティ情報が従来のように全ての無線端末で同一であると、本来ゲスト用のサブネットワークとは独立させるべき仮想ＬＡＮセグメントのマルチキャスト又はブロードキャストフレームを、悪意の第３者が持つセキュリティ情報で暗号を複号し、傍受することが可能になる。
【００９８】
そこで上記のように、マルチキャスト又はブロードキャスト用のセキュリティ情報は、仮想ＬＡＮごとに異なるものを持つという方法を取ることで、仮想ＬＡＮ間のセキュリティが向上し、異なるセキュリティレベルを持つような複数の仮想ＬＡＮを安全に収容することができる。これは傍受が比較的容易な無線環境では、特に望ましい性質である。
【００９９】
ただし、現在のＩＥＥＥ８０２．１１では、ＫｅｙＩＤが２ｂｉｔしか割り当てられていないためこのような運用は難しく、より多くの鍵を識別することができるように鍵の識別方法を適当に拡張しておく必要がある。仮想ＬＡＮごとに異なるセキュリティレベルを設定するような場合に関しては、例えば相互運用性が高いがセキュリティの低い設定、例えばＩＥＥＥ８０２．１１のＷＥＰを使う、若しくは全く暗号化や認証を行わないといった設定をゲスト用の仮想ＬＡＮに対して行う。一方、内部ユーザ用の仮想ＬＡＮは、セキュリティは高いが余り普及していない方式を設定するような運用を行う。この結果、ゲストへの利便性と内部ユーザのセキュリティを両立させることが可能になる。
【０１００】
このように仮想ＬＡＮが無線基地局に既に組み込まれている状況の下で、無線基地局のＶＬＡＮ制御・管理機能２０３が、セキュリティ制御・管理機能２０２を指示して、この仮想ＬＡＮのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報を、セキュリティ機能２３３が無線端末に送信するように制御させる。ＩＥＥＥ８０２．１Ｘを用いる場合には、ＥＡＰＯＬ−Ｋｅｙメッセージで仮想ＬＡＮに対応するセキュリティ情報を送信する。このセキュリティ情報は、その無線端末以外にはわからないように、適切に暗号化されている。このセキュリティ情報の受渡しには、ＩＥＥＥ８０２．１Ｘ以外の適当なプロトコルを利用しても良い。
【０１０１】
無線端末のＶＬＡＮ制御・管理機能３０３が、このセキュリティ情報を受信すると、無線ＭＡＣ／ＤＬレイヤ３３１のセキュリティ機能３３３に対しこのセキュリティ情報を設定する。ＶＬＡＮ機能３３４は、データを送受信する際にこのように設定されたセキュリティ機能３３３を利用して、属している仮想ＬＡＮに応じた適切な暗号・認証の処理を行うことができる。なお、ＶＬＡＮ機能３３４は適切な仮想ＬＡＮ識別子を含むＶＬＡＮタグを持つフレームを送受信するように設定される。ＶＬＡＮ機能３３４は受信したフレームが無関係な仮想ＬＡＮ識別子を持っている場合には、そのフレームを廃棄する。また、ＶＬＡＮ機能３３４はフレームを送信する際には、適切な仮想ＬＡＮ識別子を付加する。
【０１０２】
さらに、ＶＬＡＮごとに最大帯域が設定されているような場合には、無線基地局のＱｏＳ制御・管理機能２０４が、無線ＭＡＣ／ＤＬレイヤ２３１のＱｏＳ機能２３５を指示することで、仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御する。可能ならばさらに無線端末のＱｏＳ制御・管理機能３０４と無線ＭＡＣ／ＤＬレイヤ３３１のＱｏＳ機能３３５を利用して、この仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御する。
【０１０３】
ＩＥＥＥ８０２．１１の場合、無線基地局における最大帯域の制御はもっぱら無線基地局から無線端末方向へのユーザデータにのみ、無線端末における最大帯域の制御はもっぱら無線端末から無線基地局方向へのユーザデータにのみ有効である。ＩＥＥＥ８０２．１１でＰＣＦ（Ｐｏｉｎｔ Ｃｏｏｒｄｉｎａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）を利用できる場合には、これをＱｏＳ制御に利用しても良い。また、有線側の仮想ＬＡＮ帯域も制御する場合には、さらに無線基地局のブリッジ機能２２１のＱｏＳ機能２２３や有線ＭＡＣ／ＤＬレイヤのＱｏＳ機能２３７も協調的に動作させる。
【０１０４】
［２］無線基地局が、無線端末が所属する仮想ＬＡＮを動的に設定する場合、即ち、無線基地局が動的に仮想ＬＡＮを構成することを許容しており、かつ新たに収容する無線端末がこれまで無線基地局に設定されていなかった仮想ＬＡＮに所属している場合の動作を示す。
【０１０５】
仮想ＬＡＮを動的に構成する一つの方法は、ＶＰＮで仮想ＬＡＮを構成する物理セグメントを相互接続することである。例えば、新たな無線端末を収容した無線基地局から、その無線端末が属する仮想ＬＡＮのホーム的性格を持つ物理セグメントまでＶＰＮを設定するといった方法である。このＶＰＮの接続先は、認証・管理サーバのＶＬＡＮ制御・管理機能４０３から、無線基地局のＶＬＡＮ制御・管理機能２０３に通知される。ＶＬＡＮ制御・管理機能２０３は、必要なＶＰＮを設定するように、ＶＰＮ機能２１２を制御する。
【０１０６】
例えば、Ｌ２ＴＰやＰＰＴＰなどを用いてトンネルを生成するといった処理を行う。また、ＩＰＳｅｃで指定された接続先との間にトンネルを生成してもよい。ＩＰＳｅｃのＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）は、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）によって作成しても良いし、ＶＬＡＮ制御・管理機能４０３から与えても良い。図１においては、無線基地局１１２は、ネットワーク１０２のサブネットワークである仮想ＬＡＮ１３３、１３４を収容するために、ＶＰＮサーバ１７１との間に、ＶＬＡＮ制御・管理機能２０３を用いてＶＰＮトンネルを生成している。このような方法は、仮想ＬＡＮの動的な構成を認証・管理サーバ１２１で集中管理することができる。
【０１０７】
（第２の実施形態）
図１０は、本発明の第２の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図である。図１０は、ＭＡＣブリッジを用いたネットワーク構成の一例を示す。
図１０は、無線基地局８１１、８１２、８１３が図２に示したような機能を持たない既存の無線基地局の場合、無線基地局８１１、８１２、８１３とネットワーク８０１の間にＭＡＣブリッジ８８１を置き、図１と同等のシステムを構築する。ＭＡＣブリッジ８８１は、図２の無線基地局１１１、１１２、１１３の無線ＭＡＣ／ＤＬレイヤ２３１が有線ＭＡＣ／ＤＬレイヤに変更されることと無線物理レイヤ２４１が有線物理レイヤに変更されることのみが図２の無線基地局と異なる。有線ＭＡＣ／ＤＬレイヤは、図２の無線基地局１１１、１１２、１１３と同様にセキュリティ機能、ＶＬＡＮ機能、及びＱｏＳ機能を含んでいる。本実施形態では、ＭＡＣブリッジを用いたメッセージの交換概要の一例を参照して第１の実施形態との相違点のみを説明する。
【０１０８】
図１１は、図１０の無線端末、無線基地局、ＭＡＣブリッジ８８１、認証・管理サーバの間のメッセージ交換を示す図である。
第１段階である無線リンク設定については、既存の無線ＬＡＮでのリンク設定と同様であり、無線端末と無線基地局との間で行われる。この設定は、図５の無線リンク設定と同じ設定を行う。
【０１０９】
第２段階である認証・セキュリティ情報配信、ＶＬＡＮ、ＱｏＳ設定に関しては、無線端末の制御・管理機能３０１と、ＭＡＣブリッジ８８１と、認証・管理サーバ１２１との三者間で行われる。認証の方式はＩＥＥＥ８０２．１Ｘの無線拡張方式やそれに類似する他の方式を用いて行われ、無線端末の認証がされると、認証・管理サーバのセキュリティ制御・管理機能４０２からそのセッションにおけるセキュリティ情報が配信される。また、ＶＬＡＮ制御・管理機能４０３がその無線端末が収容されるＶＬＡＮに関する情報を配信する。さらに、ＱｏＳ制御・管理機能４０４がその無線端末のＱｏＳに関する情報を配信する。ここで、必ずしもこれら全ての情報が設定される必要はなく、構築されたシステムによって以上で述べた一部のみが配信されてもよい。
【０１１０】
以上の動作によって、ＭＡＣブリッジ８８１のセキュリティ制御・管理機能は、認証された無線端末のセキュリティ情報を有線ＭＡＣ／ＤＬレイヤのセキュリティ機能に設定し、無線端末との暗号化、メッセージ認証が施された通信を行うことができる。また、ＭＡＣブリッジ８８１のＶＬＡＮ制御・管理機能が収容する無線端末の仮想ＬＡＮ情報をブリッジ機能のＶＬＡＮ機能に設定することにより、その無線端末が属する仮想ＬＡＮのフレームを無線端末側にブリッジすることができる。またＭＡＣブリッジ８８１のＱｏＳ制御・管理機能がブリッジ機能のＱｏＳ機能にその無線端末のＱｏＳ情報を設定することで、その無線端末の帯域の保証や制限を行った通信ができる。
【０１１１】
また、ＭＡＣブリッジ８８１のルーティング機能のＶＰＮ機能を用いて、ＭＡＣブリッジ８８１が収容されているネットワーク以外のネットワークとＬ２ＴＰ、ＰＰＴＰに代表されるＶＰＮトンネルを生成して、異なるネットワークの仮想ＬＡＮを収容することも可能である。例として、ＭＡＣブリッジ８８１は、ルーティング機能のＶＰＮ機能を用いてＶＰＮサーバ８７１とＶＰＮトンネルを生成する。ＭＡＣブリッジ８８１は、物理的にはネットワーク８０１に属しているが、論理的にはネットワーク８０２にも属することができる。ＭＡＣブリッジ８８１は、ネットワーク８０２のサブネットワークである仮想ＬＡＮ８３３、８３４に属する無線端末８４４、８４５、８４６を収容することができる。
【０１１２】
第３段階であるユーザデータ交換に関して、無線端末とＭＡＣブリッジ８８１の間で暗号化、メッセージ認証が施されたデータの送受信が行われる。無線基地局からＭＡＣブリッジ８８１へデータの送信をする時はＭＡＣブリッジ８８１の有線ＭＡＣ／ＤＬレイヤのＶＬＡＮ機能を用いて端末側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して宛先に送信する。
【０１１３】
また、ＭＡＣブリッジ８８１のセキュリティ機能は、ユニキャストフレームを無線端末ごとに設定されたセキュリティ情報を用いて、マルチキャスト・ブロードキャストフレームを仮想ＬＡＮごとに設定されたセキュリティ情報を用いて送信する。また、その無線端末にＱｏＳの設定がなされている場合はＭＡＣブリッジ８８１のＱｏＳ機能を用いて無線端末に決められた帯域を確保したり、決められた帯域に制限したりする形でフレームを送信する。無線端末からのフレームの受信の際には、その無線端末のセキュリティ情報を用いて複号し、その無線端末が属する仮想ＬＡＮのタグを付加して端末側に送信する。
【０１１４】
以上のようなＭＡＣブリッジ８８１を用いたシステムは、既存の無線基地局を改良することなく第１の実施形態と同等のシステムを構築することができるという利点をもつ。また、セキュリティ制御、ＶＬＡＮ制御、ＱｏＳ制御の機構をＭＡＣブリッジ８８１に一局集中させることができるので、メンテナンス等のコストが削減できる利点がある。
【０１１５】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【０１１６】
【発明の効果】
本発明によれば、無線端末ごとにユニキャストセキュリティ情報を設定することで無線端末ごとのセキュリティを確保できることに加え、ブロードキャスト／マルチキャストセキュリティ情報を仮想ＬＡＮごとに設定することで仮想ＬＡＮごとのセキュリティも確保することができる。
【図面の簡単な説明】
【図１】本発明の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図。
【図２】図１の無線基地局のブロック図。
【図３】図１の無線端末のブロック図。
【図４】図１の認証・管理サーバのブロック図。
【図５】図１の無線端末、無線基地局、認証・管理サーバの間のメッセージ交換を示す図。
【図６】図５の第１段階での図１の無線端末が無線基地局を選択する様子を示す図。
【図７】図６の無線端末が無線基地局からのビーコンフレームにより無線基地局を選択するためのシーケンス図。
【図８】図６の無線端末が無線基地局からのプローブ応答フレームにより無線基地局を選択するためのシーケンス図。
【図９】図５の第２段階での無線端末、無線基地局、認証・管理サーバの間のメッセージ交換のシーケンス図。
【図１０】本発明の第２の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図。
【図１１】図１０の無線端末、無線基地局、ＭＡＣブリッジ、認証・管理サーバの間のメッセージ交換を示す図。
【符号の説明】
１０１、１０２・・・ネットワーク、１１１、１１２、１１３・・・無線基地局、１２１、１２２・・・認証・管理サーバ、１３１、１３２、１３３、１３４・・・仮想ＬＡＮ、１４１、１４２、１４３、１４４、１４５、１４６・・・無線端末、１５１、１５２・・・端末、１６１、１６２・・・ゲートウェイ、１７１・・・ＶＰＮサーバ、２０１・・・制御・管理機能、２０２・・・セキュリティ制御・管理機能、２０３・・・ＶＬＡＮ制御・管理機能、２０４・・・ＱｏＳ制御・管理機能、２１１・・・ルーティング機能、２１２・・・ＶＰＮ機能、２２１・・・ブリッジ機能、２２２・・・ＶＬＡＮ機能、２２３・・・ＱｏＳ機能、２３１・・・無線ＭＡＣ／ＤＬレイヤ、２３２・・・有線ＭＡＣ／ＤＬレイヤ、２３３・・・セキュリティ機能、２３４・・・ＶＬＡＮ機能、２３５・・・ＱｏＳ機能、２３６・・・ＶＬＡＮ機能、２３７・・・ＱｏＳ機能、２４１・・・無線物理レイヤ、２４２・・・有線物理レイヤ、３０１・・・制御・管理機能、３０２・・・セキュリティ制御・管理機能、３０３・・・ＶＬＡＮ制御・管理機能、３０４・・・ＱｏＳ制御・管理機能、３１１・・・ルーティング機能、３１２・・・ＶＰＮ機能、３３１・・・無線ＭＡＣ／ＤＬレイヤ、３３３・・・セキュリティ機能、３３４・・・ＶＬＡＮ機能、３３５・・・ＱｏＳ機能、３４１・・・無線物理レイヤ、４０１・・・制御・管理機能、４０２・・・セキュリティ制御・管理機能、４０３・・・ＶＬＡＮ制御・管理機能、４０４・・・ＱｏＳ制御・管理機能、４１１・・・ルーティング機能、４１２・・・ＶＰＮ機能、４３２・・・有線ＭＡＣ／ＤＬレイヤ、４３６・・・ＶＬＡＮ機能、４３７・・・ＱｏＳ機能、４４２・・・有線物理レイヤ、８０１、８０２・・・ネットワーク、８１１、８１２、８１３・・・無線基地局、８３１、８３２、８３３、８３４・・・仮想ＬＡＮ、８４１、８４２、８４３、８４４、８４５、８４６・・・無線端末、８７１・・・ＶＰＮサーバ、８８１・・・ＭＡＣブリッジ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a base station, a relay device, and a communication system related to security in a wireless network.
[0002]
[Prior art]
In recent years, with the spread of portable notebook personal computers, wireless LANs represented by IEEE 802.11 have been widely used because of their convenience without being tied to cables. In addition, with the advent of IEEE 802.11a having a maximum transmission speed of 54 Mbps, it is expected that the use of IEEE 802.11a will further increase in the future. On the other hand, there is also a danger that a malicious third party can easily intercept the communication due to the characteristics of the wireless communication. In the current wireless LAN, there is no authentication means for each user or wireless terminal, and the data encryption method is an encryption method using a common key for all terminals (for example, see Non-Patent Document 1). Vulnerability has been pointed out. Among them, a method has been proposed in which IEEE 802.1X that can perform authentication for each user is extended to a wireless LAN, and a method for performing encrypted communication using a different key for each user has appeared.
[0003]
As another technology, a technology called a virtual LAN, which physically separates a network belonging to the same segment into a plurality of segments by adding an identification tag to a frame, has been established.
[0004]
[Non-patent document 1]
IEEE Std 802.1Q-1998, "IEEE Standards for Local and Metropolitan Area Networks: Virtual Bridged Local Area Networks, Retrieved on January 3, 2015.
Internet <http: // standards. ieee. org / getieee802 / download / 802.1Q-1998. pdf>
[0005]
[Problems to be solved by the invention]
In a wireless network represented by IEEE 802.11, there are many security issues associated with its convenience. Under such circumstances, it is considered that a technology capable of accommodating wireless terminals belonging to different virtual LANs while maintaining the independence of the virtual LANs from each other and without the user being aware of the framing of the virtual LANs will become important in the future. However, with only the current IEEE 802.1X wireless LAN extension method, security information (such as a key used for encryption) relating to a unicast frame can be changed for each wireless terminal, but the same is applied to all terminals regarding a multicast / broadcast frame. Only security information can be used.
[0006]
Therefore, according to the present invention, the authenticated user or wireless terminal can secure and accommodate the virtual LAN based on the identification information notified at the time of the authentication, and can accommodate a plurality of virtual LANs. Proposes a system that can secure and accommodate security between virtual LANs by setting different multicast / broadcast information for each virtual LAN.
[0007]
[Means for Solving the Problems]
The base station of the present invention is generated for each virtual LAN in an authentication server, a communication terminal that is authenticated from the authentication server via a network, and a base station that transfers communication performed by the communication terminal via a virtual LAN. Security information acquiring means for acquiring security information from an authentication server, security information distributing means for distributing security information for each virtual LAN, and either one of multicast data and broadcast data security-processed by the communication terminal based on the distributed security information Security processing data receiving means for receiving from a communication terminal in a virtual LAN, security processing data decoding means for decoding either multicast data or broadcast data security-processed by the communication terminal, and decoded multicast data. Security processing virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of any of broadcast data and broadcast data, and decoding of multicast data and broadcast data decoded based on security information corresponding to the found virtual LAN. Security processing means for performing security processing on any of the data; and security processing data transmitting means for transmitting any of the security-processed multicast data and broadcast data to a communication terminal that is a destination of the decrypted multicast data and broadcast data. ing.
[0008]
Further, the base station of the present invention transfers an authentication server, a communication terminal that is authenticated from the authentication server via a network, a wired terminal that communicates with the communication terminal, and a communication that is performed by the communication terminal via a virtual LAN. In a base station connected to a wired terminal by wire, security information acquisition means for acquiring security information generated for each virtual LAN from an authentication server, and security information distribution means for delivering security information for each virtual LAN. Receiving means for receiving one of multicast data and broadcast data from a wired terminal, and security processing for finding a virtual LAN to which a communication terminal to which one of the received multicast data and broadcast data belongs is found. Means and the security corresponding to the discovered virtual LAN. Security processing means for performing security processing on any of the received multicast data and broadcast data based on the security information, and transmitting the security-processed multicast data and broadcast data to a communication terminal which is a destination of the received multicast data and broadcast data. A security processing data transmitting unit for transmitting any of the data is provided.
[0009]
Further, the base station of the present invention transfers an authentication server, a communication terminal that is authenticated from the authentication server via a network, a wired terminal that communicates with the communication terminal, and a communication that the communication terminal performs via a virtual LAN. In a base station connected to a wired terminal by wire, security information acquisition means for acquiring security information generated for each virtual LAN from an authentication server, and security information distribution means for delivering security information for each virtual LAN. Security processing data receiving means for receiving, from a communication terminal in a virtual LAN, either multicast data or broadcast data security-processed by a communication terminal based on distributed security information; and multicast data and broadcast data security-processed by the communication terminal. One of And security processing data decoding means Gosuru, the wired terminal is any destination multicast data and broadcast data decoded, and a security processing data transmission means for transmitting one of multicast data and broadcast data decoded.
[0010]
A relay device according to the present invention includes an authentication server, a communication terminal that receives authentication from the authentication server via a network, and a relay device that connects a communication performed by the communication terminal to a base station that relays the communication via a virtual LAN. Information obtaining means for obtaining security information generated for each virtual machine from the authentication server, security information distributing means for distributing security information for each virtual LAN, multicast data security-processed by the communication terminal based on the distributed security information, Security processing data receiving means for receiving any of the broadcast data from the communication terminal in the virtual LAN via the base station, and security processing data decoding for decoding either the multicast data or the broadcast data security-processed by the communication terminal A virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of one of the decoded multicast data and broadcast data belongs; and security information corresponding to the found virtual LAN. Security processing means for performing security processing on either the multicast data or the broadcast data, and transmitting the security-processed multicast data or the broadcast data to the communication terminal which is the destination of the decoded multicast data or the broadcast data via the base station Security processing data transmission means.
[0011]
Also, the relay device of the present invention relays, via a virtual LAN, an authentication server, a communication terminal that receives authentication from the authentication server via a network, a wired terminal that communicates with the communication terminal, and communication that the communication terminal performs. Then, in a relay device connected to a base station connected to the wired terminal by wire, security information obtaining means for obtaining security information generated for each virtual LAN from an authentication server, and distributing the security information for each virtual LAN Security information distribution means, data receiving means for receiving one of multicast data and broadcast data from a wired terminal, and finding a virtual LAN to which a communication terminal which is a destination of one of the received multicast data and broadcast data belongs Virtual LAN discovery means, and Security processing means for performing security processing on any of the received multicast data and broadcast data based on the security information; and transmitting the security-processed multicast data and broadcast data to a communication terminal which is a destination of the received multicast data and broadcast data. There is provided security processing data transmission means for transmitting any of the data via the base station.
[0012]
Furthermore, the relay device of the present invention relays, via a virtual LAN, an authentication server, a communication terminal that receives authentication from the authentication server via a network, a wired terminal that communicates with the communication terminal, and communication that the communication terminal performs. Then, in a relay device connected to a base station connected to the wired terminal by wire, security information obtaining means for obtaining security information generated for each virtual LAN from an authentication server, and distributing the security information for each virtual LAN A security information distribution unit, and a security processing data receiving unit for receiving, via a base station, from the communication terminal in the virtual LAN, either multicast data or broadcast data security-processed by the communication terminal based on the distributed security information. Multicast data security processed by the terminal and A security processing data decoding means for decoding any of the load cast data, and a wired terminal which is a destination of any of the decoded multicast data and the broadcast data, and transmits any of the decoded multicast data and the broadcast data via the base station. It has a security processing data transmission means for transmitting.
[0013]
A communication system according to the present invention includes a base station including a transmitting unit for broadcasting a beacon frame including virtual LAN information, an information obtaining unit for obtaining virtual LAN information, and a base station based on the obtained virtual LAN information. Communication comprising: connection determination means for determining whether connection to the base station is possible; and link establishment means for establishing a wireless link with the base station when it is determined that connection to the base station is possible. It has a terminal.
[0014]
Further, the communication system of the present invention includes a receiving unit for receiving a probe request frame from a communication terminal, and a transmitting unit for transmitting a probe response frame including virtual LAN information to the communication terminal in response to the probe request frame. Base station, transmitting means for broadcasting a probe request frame, obtaining means for obtaining virtual LAN information, and determination for determining whether or not connection to the base station is possible based on the obtained virtual LAN information And a communication terminal comprising a link establishing means for establishing a wireless link with the base station when it is determined that connection to the base station is possible.
[0015]
A communication system according to the present invention is a communication system including an authentication server, a communication terminal that is authenticated from the authentication server via a network, and a base station that relays communication performed by the communication terminal via a virtual LAN. Security information generating means for generating security information, an authentication server having security information distributing means for distributing the generated security information to the corresponding virtual LAN, obtaining means for obtaining virtual LAN information from the base station, Determining means for determining whether connection to the base station is possible based on the virtual LAN information, and establishing a wireless link with the base station when determining that connection to the base station is possible; A communication terminal having link establishing means, security information acquiring means for acquiring security information, Security information distribution means for distributing security information for each virtual LAN, security processing data receiving means for receiving from the communication terminal either multicast data or broadcast data security-processed by the communication terminal based on the distributed security information, Security processing data decoding means for decoding any of multicast data and broadcast data subjected to security processing by a terminal, and security processing for finding a virtual LAN to which a communication terminal that is a destination of any of the decoded multicast data and broadcast data belongs Based on virtual LAN discovery means and security information corresponding to the discovered virtual LAN, security of one of the decoded multicast data and broadcast data is performed. And a base station having security processing data transmitting means for transmitting any of the processed multicast data and broadcast data to a communication terminal that is a destination of any of the decoded multicast data and broadcast data. It is equipped to do.
[0016]
According to the above configuration, it is possible to separate each virtual LAN while securing security between segments, and to transfer an appropriate frame.
[0017]
For example, in a wireless network represented by IEEE 802.11, an authenticated wireless terminal can be accommodated in a virtual LAN with security secured based on security information notified at the time of authentication.
Further, by setting different multicast / broadcast information for each virtual LAN at that time, security between the virtual LANs can be ensured and accommodated.
[0018]
In addition, by creating a VPN tunnel with a remote VPN server, the wireless base station can accommodate a virtual LAN of a physically remote network, thereby, for example, providing security from a public wireless LAN base station to an in-house network. It is also possible to make a connection while holding it.
[0019]
Further, according to the above-described relay device, it is possible to separate each virtual LAN while securing the security between segments and transfer an appropriate frame without improving the existing wireless base station.
[0020]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of a base station, a relay device, and a communication system according to the present invention will be described with reference to the drawings.
FIG. 1 is a network configuration diagram of a wireless base station, a wireless communication terminal, and a system according to an embodiment of the present invention.
The networks 101 and 102 are composed of a plurality of sub-networks (not shown) and routers (not shown) for interconnecting each other. The networks 101 and 102 are networks managed independently of each other. Specifically, an intranet may be used, but the invention is not limited to the intranet. The router implements an IP (Internet Protocol) routing function.
[0021]
Each sub-network corresponds to a so-called LAN segment. The LAN segment may be a physical segment or a logically configured segment. The latter case is a LAN segment using a so-called virtual LAN (Virtual LAN: VLAN). In FIG. 1, virtual LANs 131 and 132 are sub-networks of the network 101, and virtual LANs 133 and 134 are sub-networks of the network 102 by a VPN tunnel described later.
[0022]
The network 101 and the Internet are interconnected by a gateway 161. Similarly, the network 102 and the Internet are interconnected by a gateway 162. The gateways 161 and 162 have a router function. The networks 101 and 102 connect the terminals 151, 152 and 153, and the terminals 151, 152 and 153 execute data communication via the network. Each of the terminals 151, 152, 153 is connected to the wireless base stations 111, 112, 113 by wire.
[0023]
The network 101 connects one or more wireless base stations 111, 112, 113. In the present embodiment, the wireless base stations 111, 112, and 113 are base stations based on IEEE 802.11 or a wireless LAN standard similar thereto.
[0024]
Each of the wireless base stations 111, 112, and 113 can accommodate one or more wireless terminals. The wireless terminals 141 and 142 belong to the virtual LAN 131, the wireless terminal 143 belongs to the virtual LAN 132, the wireless terminal 144 belongs to the virtual LAN 133, and the wireless terminals 145 and 146 belong to the virtual LAN 134. In FIG. 1, the wireless base station 111 accommodates wireless terminals 141, 142, and 143, and the wireless base station 112 accommodates wireless terminals 144, 145, and 146.
[0025]
Further, networks 101 and 102 connect authentication / management servers 121 and 122, respectively. The authentication / management server 121 performs authentication and generation and distribution of security information for each of the wireless terminals 141, 142, 143, 144, 145, and 146, and users belonging to the network 101. Furthermore, the authentication / management server 121 manages a correspondence relationship to which virtual LAN each wireless terminal belongs and a QoS (Quality of Service) setting policy. In FIG. 1, the authentication / management server 121 manages wireless terminals 141, 142, 143 belonging to virtual LANs 131, 132 which are sub-networks of the network 101.
[0026]
Similarly, the authentication / management server 122 performs authentication and generation and distribution of security information for each of the wireless terminals 141, 142, 143, 144, 145, and 146, and users belonging to the network 102. Furthermore, the authentication / management server 122 manages a correspondence relationship to which virtual LAN each wireless terminal belongs and a QoS setting policy. In FIG. 1, the authentication / management server 122 manages wireless terminals 144, 145, and 146 belonging to virtual LANs 133 and 134, which are sub-networks of the network 102.
[0027]
With the above configuration, each wireless terminal 141, 142, 143, 144, 145, 146 is assigned to an appropriate virtual LAN 131, 132, 133, 134, and each virtual LAN is separated while securing the security between segments. Transfer of frames. As a result, the broadcast / multicast security information can be set for each virtual LAN, and security for each virtual LAN can be ensured.
[0028]
The network 102 connects a VPN server 171. The VPN server 171 has a server function of a VPN (Virtual Private Network) represented by a Point-to-Point Tunneling Protocol (PPTP) or L2TP, and responds to a VPN tunnel generation request from a client having the VPN function, and A tunnel can be created. In FIG. 1, the wireless base station 112 generates a VPN tunnel between a VPN function 212 and a VPN server 171 to be described later in order to accommodate wireless terminals belonging to virtual LANs 133 and 134, which are sub-networks of the network 102. Thus, the wireless base station 112 belonging to a physically different network can logically belong to the same network as the network 102.
[0029]
For security reasons, the gateways 161 and 162 may further have a firewall function. Further, the gateways 161 and 162 do not necessarily need to be physically constituted by one device, but are constituted by a combination of a plurality of physical devices such as routers and firewalls and a network (sub-network) interconnecting them. It is possible.
The wireless base station according to the present embodiment is based on IEEE 802.11 or a wireless LAN standard similar thereto. However, generally, the wireless technology does not need to be limited to these standards. It may be mixed in the network.
The authentication / management servers 121 and 122 may be configured by a plurality of physical devices.
[0030]
FIG. 2 is a block diagram of the wireless base stations 111, 112, and 113 of FIG. Here, the wireless base station 111 will be described as a representative of the wireless base stations 111, 112, and 113.
The control / management function 201 includes a security control / management function 202, a VLAN control / management function 203, and a QoS control / management function 204, and relates to the security executed by the radio base station 111, the virtual LAN, and the quality of service (QoS) of communication. Control and manage.
The security control / management function 202 controls and manages security information such as an encryption key and an authentication key used for multicast or broadcast for each virtual LAN. The security control / management function 202 also controls and manages security information such as an encryption key and an authentication key used for unicast for each wireless terminal.
[0031]
The VLAN control / management function 203 controls the designated virtual LAN to accommodate the wireless terminal, and manages the virtual LAN. The VLAN control / management function 203 outputs an instruction to the security control / management function 202, and the security function 233 transmits security information such as an encryption key and an authentication key used for multicast or broadcast of the virtual LAN to the wireless terminal. Control.
[0032]
Further, the VLAN control / management function 203 instructs the security control / management function 202 in a situation where the virtual LAN is already incorporated in the wireless base station 111, and an encryption key used for multicast or broadcast of the virtual LAN. The security function 233, which will be described later, transmits security information such as an authentication key and an authentication key to the wireless terminal.
[0033]
For example, information on the virtual LAN embedded in the beacon frame (Beacon Frame) is appropriately set in advance by using the VLAN control / management function 203 of the wireless base station 111. The set contents are reflected in the beacon frame by the VLAN control / management function 203 appropriately controlling the VLAN function 234 of the wireless MAC / DL layer 231.
[0034]
The QoS control / management function 204 of the wireless base station defines a maximum bandwidth limit and a minimum guaranteed bandwidth in which a bandwidth allocated to user data in the virtual LAN can be set. When the maximum bandwidth is set for each VLAN, the QoS control / management function 204 of the wireless base station instructs the QoS function 235 of the wireless MAC / DL layer 231 to store the user data of this virtual LAN. Control so that the allocated bandwidth does not exceed the specified maximum bandwidth.
[0035]
The routing function 211 implements an IP function, and transmits and receives data packets between the wireless terminal and the network 101. The routing function 211 includes a VPN function 212. The VPN function 212 operates when a necessary VPN is set. A VLAN control / management function 203 controls a VPN function 212 to set a necessary VPN. For example, as described above, a process of generating a tunnel using L2TP, PPTP, or the like is performed. In FIG. 1, the wireless base station 112 generates a VPN tunnel using the VLAN control / management function 203 with the VPN server 171 to accommodate the virtual LANs 133 and 134 which are sub-networks of the network 102. I have. Furthermore, the VLAN control / management function 203 may generate a tunnel with a connection destination specified by IPSec (Internet Protocol Security).
[0036]
The bridge function 221 includes a VLAN function 222 and a QoS function 223. The VLAN function 222 bridges between the wireless side and the wired side to enable communication between the wireless side and the wired side. The QoS function 223 enables communication in which the band of the wireless terminal is guaranteed or limited, and also controls the virtual LAN band on the wired side.
[0037]
The wireless MAC / DL layer 231 includes a security function 233, a VLAN function 234, and a QoS function 235. The security function 233 performs encryption / authentication processing of frames transmitted and received on the wireless side.
[0038]
When the transmitted / received frame is a multicast or broadcast frame, the security function 233 operates in cooperation with the VLAN function 234 to use the security information set for each virtual LAN to encrypt / transmit the transmitted / received frame. Perform authentication processing. When the transmitted / received frame is a unicast frame, the security function 233 performs encryption / authentication processing of the transmitted / received frame using the security information set for each wireless terminal.
In addition, the security function 233 blocks messages related to user data other than a predetermined specific message related to authentication / security information distribution or the like until the authentication is successful.
[0039]
The VLAN function 234 is used when transmitting data from the radio base station 111 to the radio terminals 141, 142, 143 when exchanging user data, when transmitting a frame with a VLAN tag transmitted from the radio terminals 141, 142, 143. Of these, only the frame of the tag corresponding to the virtual LAN to which the wireless terminal belongs is converted into a frame from which the tag has been appropriately removed and transmitted.
The QoS function 235 is a function for controlling the band allocated to the user data of the virtual LAN so as not to exceed the specified maximum band.
[0040]
The wireless physical layer 241 is a physical layer when performing wireless communication between a wireless terminal and the wireless base station 111. For example, a beacon frame, a probe response frame, and a probe request frame generated by the wireless MAC / DL layer 231 are transmitted as wireless signals by the wireless physical layer 241. In addition, communication between the wireless terminal and the wireless base station uses the wireless MAC / DL layer 231 and the wireless physical layer 241 of the wireless base station and the wireless MAC / DL layer 331 of the wireless terminal, which will be described later, without using the IP layer. This is performed by the physical layer 341 using the function of the link layer of the wireless LAN.
[0041]
The wired MAC / DL layer 232 and the wired physical layer 242 provide a function of accessing Ethernet (registered trademark). The VLAN function 236 converts only the frame of the tag corresponding to the virtual LAN to which the wireless terminal belongs out of the frame with the VLAN tag transmitted from the terminal side into a frame in which the tag is appropriately removed, and transmits the frame to the destination. The QoS function 237 is used when controlling the virtual LAN band on the wired side.
[0042]
FIG. 3 is a block diagram of the wireless terminals 141, 142, 143, 144, 145, and 146 of FIG. Here, the wireless terminal 141 will be described as a representative of the wireless terminal. In FIG. 3, the same names as the names of the functions in the block diagram of the wireless base station in FIG. 2 have the same functions.
The control / management function 301 includes a security control / management function 302, a VLAN control / management function 303, and a QoS control / management function 304 for performing operations related to authentication / security information distribution, VLAN, and QoS setting, respectively.
[0043]
The routing function 311 realizes an IP function, and transmits and receives packets by providing the function of accessing the Ethernet by the wireless MAC / DL layer 331 and the wireless physical layer 341. The VPN function 312 is a function related to a VPN tunnel for the wireless base station 112 belonging to a physically different network to logically belong to the same network as the network 102.
[0044]
Upon receiving the security information from the wireless base station, the VLAN control / management function 303 of the wireless terminal sets the security information in the security function 333 of the wireless MAC / DL layer 331.
[0045]
The wireless physical layer 341 is used by the wireless MAC / DL layer 331 to perform communication between the wireless terminal and the wireless base station using the function of the link layer of the wireless LAN.
[0046]
FIG. 4 is a block diagram of the authentication / management servers 121 and 122 of FIG. Here, the authentication / management server 121 will be described as a representative of the authentication / management server. In FIG. 4, the same names as the names of the functions in the block diagram of the wireless base station in FIG. 2 have the same functions.
The control / management function 401 includes a wireless terminal control / management function 301 and a wireless base station control / management function 201 or a MAC bridge control / management function described below with reference to FIG. Controls distribution, VLAN, and QoS settings.
[0047]
The security control / management function 402 is mainly for authentication / security information distribution, virtual LAN setting, and QoS setting with the security control / management function 302 of the wireless terminal 141 and the security control / management function 202 of the wireless base station 111. Exchange messages.
[0048]
The VLAN control / management function 403 obtains security information from the security control / management function 402 of the authentication / management server, and obtains information on QoS from the QoS control / management function 404 of the authentication / management server.
The VLAN control / management function 403 notifies the VLAN control / management function 203 of the wireless base station of the connection destination of the VPN.
Further, the QoS control / management function 404 distributes information on the QoS of the wireless terminal.
[0049]
The routing function 411 performs IP routing. In addition, the wired MAC / DL layer 432 and the wired physical layer 442 realize access to Ethernet.
[0050]
FIG. 5 is a diagram illustrating message exchange between the wireless terminal, the wireless base station, and the authentication / management server in FIG. Here, the case of the wireless terminal 141, the wireless base station 111, and the authentication / management server 121 will be described as an example. The following description applies to the case of the other wireless terminals 142 or 143, the wireless base station 111, and the authentication / management server 121, and the case of the wireless terminals 144, 145 or 146, the wireless base station 112, and the authentication / management server 121. .
In the first stage, a wireless link is established between the wireless terminal 141 and the wireless base station 111. In the second stage, authentication between the wireless terminal 141 and the wireless base station 111 via the authentication / management server 121, distribution of security information used for concealment / authentication at the stage of user data exchange, virtual LAN setting, QoS Settings and so on. It is not necessary to always execute all of the contents described in the second stage, and it is sufficient that only appropriate portions are executed. In the third stage, user data is exchanged. At each stage, a plurality of message exchanges may be performed. Also, although this step is typical, it is not always necessary to divide into such steps, and the above operation may be performed.
[0051]
The first step is, in a typical case of IEEE 802.11, discovery of one or more wireless base stations 111 by a probe request of the wireless base station 111 performed by the wireless terminal 141 and a probe response of the wireless base station 111 to the request. , The authentication between the wireless terminal 141 and the appropriately selected wireless base station 111, and the establishment of an association.
[0052]
The wireless terminal 141 may select a partner wireless base station 111 to associate with by receiving a beacon periodically transmitted by the wireless base station 111 without probing. Further, when IEEE 802.11 is extended by IEEE 802.1X authentication, authentication is performed in the second stage according to the IEEE 802.1X procedure without performing the above-described authentication (IEEP 802.11 WEP-based authentication). In this case, even after the first stage is completed, the wireless base station 111 allows the exchange of only the frame necessary for authentication and prohibits the exchange of general user data until the authentication is performed. In the following, it is assumed that authentication is performed in IEEE 802.1X or similar.
[0053]
The first phase is extended to support virtual LANs. The purpose of the extension is to allow the wireless terminal to select a wireless base station that can accommodate the wireless terminal corresponding to the virtual LAN in an appropriate virtual LAN. The need for selection is illustrated below.
[0054]
(1) There may be a situation where legacy wireless base stations not supporting the virtual LAN are mixed in the network. For example, in FIG. 6, the wireless base station 113 does not support a virtual LAN. The wireless terminal 141 corresponding to the virtual LAN must enable appropriate selection to communicate with the wireless base station 111 or 112 corresponding to the virtual LAN extension.
[0055]
(2) There may be situations where a certain wireless base station is connected to all virtual LANs, or is not always connectable. For example, the wireless base station 111 in FIG. 6 is connected to the virtual LANs 1 and 2, but does not have a function of dynamically configuring the virtual LAN. On the other hand, the wireless base station 112 in FIG. 6 is connected to the virtual LANs 3 and 4 and has a function of dynamically configuring the virtual LAN. In this case, for example, a wireless terminal belonging to the virtual LAN 4 or 5 should be connected to the wireless base station 112.
[0056]
The expression “dynamic” here means that the setting of the virtual LAN can be changed in accordance with a change in the accommodation state of the wireless terminal by some means, and thus does not necessarily match the dynamic / static classification in IEEE 802.1Q. Not in translation.
[0057]
There are other specific ways to extend it. For example, in the case of IEEE 802.11, it is conceivable to embed information about a virtual LAN in a probe response frame or a beacon frame transmitted by a wireless base station. As one of the methods, there is a method of encoding virtual LAN information into an SSID (Service Set Identifier).
[0058]
As a specific encoding method, for example, information indicating whether or not the wireless base station supports the virtual LAN is represented by an appropriate bit string, the number of the connected virtual LAN is represented by a bit map, and A bit is assigned to an expression indicating whether or not a virtual LAN can be configured. Since the SSID can be set by a network administrator or operator, this method can be realized as a local rule within the same management / operation domain without changing the IEEE 802.11 specifications. However, since the maximum length of the SSID is 32 octets, it is difficult to represent a bitmap depending on the number of virtual LANs configured in the domain.
[0059]
As another method, it is conceivable to extend the IEEE 802.11 specification itself to include information on a virtual LAN. For example, a bit indicating the presence or absence of a virtual LAN extension is assigned to a capability information field, and an information element indicating information such as a bit map of a connected virtual LAN number and a dynamic configuration is provided. May be added. Further, a frame relating to the virtual LAN may be newly defined in addition to the probe response and the beacon.
[0060]
The wireless terminal 141 requests the wireless base station thus selected, for example, the wireless base station 111, to set up a wireless link. In the case of IEEE 802.11, the wireless terminal 141 transmits an association request frame (Association Request Frame) or a reassociation request frame (Reassociation Request Frame) to the wireless base station 111. The latter corresponds to the case of handing off from another wireless base station to the wireless base station 111, and there is room for optimizing the authentication procedure and the like using the result of authentication at the previous wireless base station. (Association Request) is assumed. As described above, since it is assumed here that the IEEE 802.1X or similar authentication is performed in the second stage, there may be authentication prior to the IEEE 802.11 association setting, but it is essentially unnecessary. It is. If the association response (Association Response) from the wireless base station 111 indicates that the association setting is successful, a wireless link is established between the wireless terminal 141 and the wireless base station 111, and the first stage ends. .
[0061]
In the second stage, authentication between the wireless terminal 141 and the wireless base station 111 via the authentication / management server 121, distribution of security information used for concealment / authentication at the stage of user data exchange, virtual LAN setting, QoS Settings and so on. Note that not all of these functions are necessarily required in the second stage.
[0062]
For example, in the case of IEEE 802.11, authentication between the wireless terminal 141 and the wireless base station 111 and concealment / authentication at the stage of user data exchange are performed via the authentication / management server 121 by extension of IEEE 802.1X for wireless LAN. In many cases, security information to be used is distributed. By extending this procedure, virtual LAN settings and QoS settings can be made. In addition, it is also possible to use a protocol other than IEEE 802.1X for the authentication and the distribution of the security information. In this case, the setting of the virtual LAN and the setting of the QoS can be performed in a similar manner.
[0063]
In the third stage, the wireless terminal 141 can perform data transmission and reception with the terminal 151 in the network. When exchanging user data, when data is transmitted from the wireless base station 111 to the wireless terminal 141, a frame with a VLAN tag transmitted from the terminal using the VLAN function 234 of the wireless MAC / DL layer 231 is used. Only the frame of the tag corresponding to the virtual LAN to which the wireless terminal 141 belongs is converted into a frame from which the tag is appropriately removed and transmitted.
[0064]
Further, the wireless base station 111 transmits a frame using the security function 233. A unicast frame is transmitted using security information set for each wireless terminal, and a multicast or broadcast frame is transmitted using security information set for each virtual LAN. If QoS is set for the wireless terminal, the frame is transmitted using the QoS function 235 in such a manner that a determined band is secured for the wireless terminal or limited to the determined band. When a frame from the wireless terminal is received, the frame is decoded using the security information of the wireless terminal, a tag of the virtual LAN to which the wireless terminal belongs is added, and the frame is transmitted to the wired side.
Based on the above procedure, it is possible to configure a system that accommodates a plurality of virtual LANs while maintaining independence between the virtual LANs.
[0065]
FIG. 6 is a diagram illustrating a state in which the wireless terminal 141 in FIG. 1 selects the wireless base station 111, 112, or 113 at the first stage in FIG. FIG. 6 illustrates a situation where the wireless terminal 141 selects a wireless base station corresponding to an appropriate virtual LAN. There are three radio base stations 111, 112, and 113 to which radio can be reached from the radio terminal 141, and there is room for selecting any appropriate radio base station.
In FIG. 6, the wireless terminal 141 receives a beacon frame periodically transmitted by the wireless base station 111, and the wireless base station 111 is connected to the virtual LANs 1 and 2 and dynamically adds a virtual LAN. Detect that it cannot. The beacon frame is generated by the wireless MAC / DL layer 231 of the wireless base station 111 and transmitted as a wireless signal by the wireless physical layer 241.
[0066]
At this time, information on the virtual LAN embedded in the beacon frame is appropriately set in advance using the VLAN control / management function 203 of the wireless base station 111. The set contents include the virtual LAN to be connected, and whether or not to dynamically add the virtual LAN. The set contents are reflected in the beacon frame by the VLAN control / management function 203 appropriately controlling the VLAN function 234 of the wireless MAC / DL layer 231.
[0067]
The VLAN control / management function 203 provides a user interface function for an administrator to locally set information on the virtual LAN. This setting by the administrator may be performed remotely from the authentication / management server 121, for example. At this time, the VLAN control / management function 403 of the authentication / management server 121 has a user interface function for the administrator, and communicates with the VLAN control / management function 203 of the wireless base station 111 to perform appropriate settings.
[0068]
This communication is performed by, for example, well-known IP and Ethernet functions. That is, necessary packets are appropriately routed between the wireless base station 111 and the authentication / management server 121 by the IP function of the network 101. In the wireless base station 111, the routing function 211 realizes the IP function, and the wired MAC / DL layer 232 and the wired physical layer 242 provide the function of accessing the Ethernet, thereby transmitting and receiving this packet.
[0069]
Similarly, the routing function 411 of the authentication / management server 121 performs IP routing, and the wired MAC / DL layer 432 and the wired physical layer 442 realize access to Ethernet, thereby transmitting and receiving these packets.
[0070]
As another example, when a frame related to the virtual LAN is defined, the wireless terminal 141 receives the frame related to the virtual LAN that the wireless base station 111 transmits periodically, and the wireless terminal 141 connects the wireless base station 111 to the virtual LANs 1 and 2. And that a virtual LAN cannot be dynamically added.
[0071]
As another method, there is a method based on a probe response (Probe Response) of the wireless base station 112 in response to an inquiry signal (for example, an IEEE 802.11 probe request) transmitted by the wireless terminal 141. According to this method, the example of FIG. 8 shows a case where the wireless terminal 141 recognizes that the wireless base station 112 is connected to the virtual LANs 3 and 4 and that a virtual LAN can be dynamically added. .
[0072]
The probe request frame is generated by the wireless MAC / DL layer 331 of the wireless terminal 141 and transmitted as a wireless signal by the wireless physical layer 341. The probe response frame is generated by the wireless MAC / DL layer 231 of the wireless base station 111 and transmitted as a wireless signal by the wireless physical layer 241. At this time, the information on the virtual LAN embedded in the probe response frame is appropriately set in advance by using the VLAN control / management function 203 of the wireless base station 112. The setting of the virtual LAN for the wireless base station 112 conforms to the setting method for the wireless base station 111.
[0073]
Also, when a frame related to a virtual LAN is defined, the exchange of the inquiry frame and the response frame indicates that the wireless base station 112 is connected to the virtual LANs 3 and 4 and that the virtual LAN can be dynamically added. The wireless terminal 141 can also recognize it.
[0074]
The wireless base station 113 in FIG. 6 does not support virtual LAN extension. The wireless terminal 141 recognizes that the wireless base station 113 does not support virtual LAN extension by not returning an appropriate response to the inquiry. As an example, there is a case where information indicating the virtual LAN extension is not included in the probe response to the probe request transmitted by the wireless terminal 141 as an inquiry. As another example, when a frame related to a virtual LAN is defined, the wireless terminal 141 may recognize that the wireless base station 113 does not support virtual LAN extension by not responding to the inquiry frame. obtain.
[0075]
In this way, the wireless terminal 141 that has recognized the virtual LAN support state of each of the wireless base stations 111, 112, and 113 within the wireless coverage area selects a wireless base station that can accommodate the virtual LAN to which it belongs. . Information on the virtual LAN to which the wireless terminal 141 belongs is set in advance by the VLAN control / management function 303 of the wireless terminal 141. The set contents include the wireless terminal 141 or the virtual LAN to which the user belongs. The VLAN control / management function 303 provides a user interface function for an administrator or a user to locally set this information.
[0076]
This setting by an administrator or a user may be performed remotely from the authentication / management servers 121 and 122, for example. At this time, the VLAN control / management function 403 of the authentication / management servers 121 and 122 has a user interface function for an administrator or a user, and communicates with the VLAN control / management function 303 of the wireless terminal 141 to perform appropriate setting. I do. This communication is performed by, for example, well-known IP and Ethernet functions. That is, necessary packets are appropriately routed between the wireless terminal 141 and the authentication / management servers 121 and 122 by the IP function of the network 101.
[0077]
In the wireless base station 111, the routing function 211 realizes the IP function, and the wired MAC / DL layer 232 and the wired physical layer 242 provide the function of accessing the Ethernet, thereby transmitting and receiving this packet. Similarly, in the wireless terminal 141, the routing function 411 of the authentication / management servers 121 and 122 performs IP routing, and the wired MAC / DL layer 432 and the wired physical layer 442 realize access to Ethernet, so that these are performed. Send and receive packets.
[0078]
For example, when the wireless terminal 141 belongs to the virtual LAN 1, the wireless base station 111 or the wireless base station 113 is selected. When the wireless terminal 141 belongs to the virtual LAN 2, the wireless base station 111 is selected. When the wireless terminal 141 belongs to the virtual LAN 4, the wireless base station 112 is selected. When the wireless terminal 141 belongs to the virtual LAN 5, the wireless terminal 141 selects a wireless base station 112 to which a virtual LAN can be dynamically added. If the wireless terminal 141 does not belong to the virtual LAN, any of the wireless base stations 111, 112, and 113 may be selected.
[0079]
FIG. 7 is a sequence diagram for the wireless terminal 141 in FIG. 6 to select the wireless base station 111, 112, or 113 based on a beacon frame from the wireless base station. FIG. 7 shows an example of a message when the wireless terminal 141 acquires virtual LAN information of a wireless base station using a beacon frame of IEEE 802.11.
The wireless base stations 111, 112, and 113 regularly transmit beacon frames (S21, S22, and S23), and the wireless terminal 141 receives the beacon frame for the purpose of searching for a wireless base station to be connected. From the virtual LAN information in this frame, the wireless terminal 141 detects that the wireless base station 111 can accommodate the virtual LANs 1 and 2 and cannot dynamically add them. Similarly, the wireless terminal 141 detects that the wireless base station 112 can accommodate the virtual LANs 3 and 4 and can dynamically add the virtual LANs, and the wireless base station 113 determines that the legacy wireless base station does not include the virtual LAN information in the beacon frame. It detects that it is a base station and cannot accommodate a virtual LAN.
[0080]
As a result, if the wireless terminal 141 is a terminal belonging to the virtual LAN 1, it is determined that the wireless base stations to be connected are the wireless base stations 111 and 112. In FIG. 7, the wireless link with the wireless base station 111 is established. Establish.
[0081]
FIG. 8 is a sequence diagram for the wireless terminal 141 in FIG. 6 to select the wireless base station 111, 112 or 113 based on a probe response from the wireless base station. FIG. 8 shows an example of a message when a wireless terminal acquires virtual LAN information of a wireless base station using a probe request / Response of IEEE 802.11.
The wireless terminal 141 transmits a probe request frame to a broadcast for the purpose of searching for a wireless base station to be connected. The wireless base stations 111, 112, and 113 that have received the probe request frame transmit a probe response frame to the wireless terminal 141. From the virtual LAN information in the probe response frame, the wireless base station 111 detects that the virtual LANs 1 and 2 can be accommodated and cannot be dynamically added. Similarly, the wireless terminal 141 detects that the wireless base station 112 is capable of accommodating the virtual LANs 3 and 4 and is capable of dynamically adding the wireless LANs. It detects that it is a base station and cannot accommodate a virtual LAN.
[0082]
As a result, if the wireless terminal 141 is a terminal belonging to the virtual LAN 1, it is determined that the wireless base stations to be connected are the wireless base stations 111 and 112. In FIG. 8, the wireless link with the wireless base station 111 is established. Establish.
[0083]
FIG. 9 is a sequence diagram of a message exchange between the wireless terminal, the wireless base station, and the authentication / management server in FIG. 1 in the second stage of FIG. As in FIG. 5, the case of the wireless terminal 141, the wireless base station 111, and the authentication / management server 121 will be described as an example. The following description applies to other combinations as in FIG.
FIG. 9 shows an example of message exchange for authentication / security information distribution, virtual LAN setting, and QoS setting, which is an extension of IEEE 802.1X so that a virtual LAN and QoS setting can be performed. First, a description will be given of a case where IEEE 802.1X is conventionally extended to a wireless LAN, and a part extended to enable setting of a virtual LAN and QoS will be described later.
[0084]
The following message exchange is mainly performed between the security control / management function 302 of the wireless terminal 141, the security control / management function 202 of the wireless base station 111, and the security control / management function 402 of the authentication / management server 121. The communication between the wireless terminal 141 and the wireless base station 111 does not use the IP layer, but uses the wireless MAC / DL layer 231 and the wireless physical layer 241 of the wireless base station 111, and the wireless MAC / DL layer 331 and the wireless physical layer 331 of the wireless terminal 141. This is performed by the layer 341 using the function of the link layer of the wireless LAN.
[0085]
Here, a message related to user data and the like other than a predetermined specific message related to the following series of authentication / security information distribution, etc., includes the security function 233 of the wireless base station 111 and the wireless terminal until the authentication is successful. 141 is blocked by the security function 333. In IEEE 802.1X, a message between the wireless terminal 141 and the wireless base station 111 complies with a protocol called EAPOL (Extensible Authentication Protocol over LAN). EAPOL is a protocol defined to enable EAP, which was originally developed for extending the ppp authentication method, to be used on IEEE802-based LANs. As a protocol between the wireless base station and the authentication / management server, a RADIUS (Remote Access Dial In User Service) protocol operating on IP is often used. RADIUS has also been extended to deliver EAP packets as RADIUS attributes. The IP communication between the wireless base station and the authentication / management server has already been described in RFC2869 “RADIUS Extensions” issued by IETF.
[0086]
First, the wireless terminal 141 starts a series of message exchanges by transmitting an EAPOL-Start message to the wireless base station 111 (S1). Upon receiving the EAPOL-Start message, the wireless base station 111 transmits an EAP-Request / Identity message (S2), and requests an identifier of the wireless terminal 141 or the user. The EAPOL-Start message is optional, and a series of message exchanges may be started from the EAP-Request / Identity. That is, the authentication message exchange can be started from either the wireless terminal 141 or the wireless base station 111.
[0087]
Upon receiving the EAP-Request / Identity, the wireless terminal 141 transmits an identifier of the wireless terminal or the user by an EAP-Response / Identity message to the wireless base station 111 (S3). The wireless base station 111 replaces the EAP-Response / Identity message with the RADIUS-Access-Request message of RADIUS and transmits the message to the authentication / management server (S4). On the other hand, the authentication / management server 121 transmits a RADIUS Radius-Access-Challenge message carrying an EAP-Request / EAP-TLS message requesting the wireless terminal 141 to perform authentication by TLS (Transport Layer Security). The EAP-Request / EAP-TLS message is transmitted to the base station 111 (S5), and the wireless base station 111 relays the EAP-Request / EAP-TLS message to the wireless terminal 141 (S6). Note that authentication by TLS is an example, and EAP can use various authentication methods.
[0088]
Next, authentication by TLS on the EAP is performed, but each message for this is omitted. This is mutual authentication between the authentication / management server 121 and the wireless terminal 141. The radio base station 111 does not actively participate in authentication simply by converting the message format and relaying the message.
[0089]
When the authentication is successful, the security information is shared between the authentication / management server 121 and the wireless terminal 141. Only the authentication / management server 121 and the wireless terminal 141, including the wireless base station 111, cannot recognize this security information, and this security information is limited to this session.
[0090]
However, since it is the wireless base station 111 that performs actual user data encryption, decryption, and message authentication processing, the wireless base station 111 is shared only by the wireless terminal 141 and the authentication / management server 121. Security information is required. For this reason, the authentication / management server 121 superimposes the security information on the RADIUS Access-Accept message for notifying the EAP-Success and notifies the radio base station 111 (S7). The security information is encrypted by the authentication / management server 121 using secret information shared between the wireless base station 111 and the authentication / management server 121 so that only the wireless base station 111 can decrypt the security information. The security information does not leak to any other than the wireless base station 111. Further, EAP-Success is relayed from the wireless base station 111 to the wireless terminal 141 (S8).
[0091]
Next, the security information for unicast and the security information for multicast or broadcast are notified from the wireless base station 111 to the wireless terminal 141 by EAPOL-Key (S9, S10). These EAPOL-Key messages are subjected to encryption and message authentication processing using a key generated from security information generated at the time of TLS authentication. The unicast security information and the multicast or broadcast security information include information such as a key, a key length, a key identifier, and an initialization vector. The contents up to this point are the same as the case where the wireless LAN extension of IEEE 802.1X is applied to the conventional IEEE 802.11.
[0092]
In the present invention, a wireless base station supporting a virtual LAN distributes different multicast or broadcast security information for each virtual LAN to which a wireless terminal belongs. In the case of the configuration in FIG. 1, the multicast or broadcast message is shared between the wireless terminals 141 and 142 accommodated in the virtual LAN 131, but the wireless terminal 143 accommodated in the virtual LAN 132 has security information for multicast or broadcast. Since the wireless terminals 141 and 142 are different from each other, even if the wireless terminal 143 can receive the multicast or broadcast frame of the virtual LAN 131, the wireless terminal 143 cannot correctly decode the frames. As a result, each virtual LAN segment can be securely separated. it can.
[0093]
The unicast security information originally differs for each wireless terminal, but it may be useful to perform control to change the strength of the unicast security protocol for each virtual LAN. For example, there is an operational policy that a guest virtual LAN is widely used but uses a weak security protocol (for example, WEP), but a virtual LAN for an in-house user is allowed only to use a strong security protocol. It is valid.
[0094]
In order to perform control corresponding to such a virtual LAN, the VLAN control / management function 403 of the authentication / management server further superimposes virtual LAN information on the above-mentioned RADIUS Access-Accept message. This virtual LAN information is
(1) The identifier of the virtual LAN to which the authenticated wireless terminal belongs
(2) Information required for dynamically setting a virtual LAN, for example, connection destination information for terminating a tunnel when a virtual LAN is configured using a tunneling technology such as VPN.
(3) Virtual LAN security information, for example, policy information on what security protocols are allowed to be used, key size and key update conditions, or specification information on the type of security protocol used itself
(4) Information on QoS of virtual LAN. In a simple case, the information simply includes information such as a limitation on the maximum bandwidth in the virtual LAN and a minimum guaranteed bandwidth. The VLAN control / management function 403 obtains security information from the security control / management function 402 of the authentication / management server, and obtains information on QoS from the QoS control / management function 404 of the authentication / management server. Upon receiving the virtual LAN information, the VLAN control / management function 203 of the wireless base station performs control so that the wireless terminal is accommodated in the designated virtual LAN. When the wireless base station accommodates the wireless terminal in the virtual LAN, [1] the wireless base station already incorporates the designated virtual LAN, and [2] the wireless base station establishes the virtual terminal to which the wireless terminal belongs. The LAN may be dynamically set.
[0095]
[1] Operation when a wireless base station has already incorporated a designated virtual LAN. In this case, it is already established that the frame having the VLAN tag including the virtual LAN identifier of the virtual LAN is bridged between the wireless side and the wired side by the VLAN function 222 of the wireless base station. Furthermore, the VLAN function 234 and the security function 233 of the wireless MAC / DL layer 231 cooperate to perform encryption / authentication processing of frames transmitted and received on the wireless side using security information set for each virtual LAN. It is in a state of going.
[0096]
In addition, independence between the virtual LANs is guaranteed by using different security information, that is, different encryption and authentication methods or different encryption and authentication keys for multicast or broadcast of each virtual LAN. . With the virtual LAN identifier alone, independence between the virtual LANs against a malicious third party is lost.
[0097]
For example, when a malicious third party is accommodated in a virtual LAN that can accommodate anyone (for example, a subnetwork for a guest), the security information for multicast or broadcast is the same for all wireless terminals as in the related art. In this case, the encryption or decryption of the multicast or broadcast frame of the virtual LAN segment, which should be made independent of the guest sub-network, with security information possessed by a malicious third party can be intercepted.
[0098]
Therefore, as described above, by adopting a method in which security information for multicast or broadcast is different for each virtual LAN, security between virtual LANs is improved, and a plurality of virtual LANs having different security levels are improved. Can be safely accommodated. This is a particularly desirable property in wireless environments where eavesdropping is relatively easy.
[0099]
However, in the current IEEE 802.11, since only two bits are assigned to the KeyID, such operation is difficult, and it is necessary to appropriately extend the key identification method so that more keys can be identified. is there. In the case of setting different security levels for each virtual LAN, for example, a setting with high interoperability but low security, for example, a setting using IEEE 802.11 WEP or no encryption or authentication is performed. This is performed for the virtual LAN. On the other hand, the virtual LAN for internal users operates in such a manner that a scheme with high security but not widespread is set. As a result, it is possible to achieve both convenience for the guest and security for the internal user.
[0100]
In a situation where the virtual LAN is already incorporated in the wireless base station, the VLAN control / management function 203 of the wireless base station instructs the security control / management function 202 to perform multicast or broadcast of this virtual LAN. The security function 233 controls the security function 233 to transmit security information such as an encryption key and an authentication key to the wireless terminal. When IEEE 802.1X is used, security information corresponding to the virtual LAN is transmitted by an EAPOL-Key message. This security information is appropriately encrypted so that it cannot be known except by the wireless terminal. For the transfer of the security information, an appropriate protocol other than IEEE 802.1X may be used.
[0101]
When receiving the security information, the VLAN control / management function 303 of the wireless terminal sets the security information in the security function 333 of the wireless MAC / DL layer 331. The VLAN function 334 can perform appropriate encryption / authentication processing according to the virtual LAN to which the VLAN function 334 belongs, by using the security function 333 set in this way when transmitting and receiving data. The VLAN function 334 is set to transmit and receive a frame having a VLAN tag including an appropriate virtual LAN identifier. If the received frame has an irrelevant virtual LAN identifier, the VLAN function 334 discards the frame. When transmitting a frame, the VLAN function 334 adds an appropriate virtual LAN identifier.
[0102]
Further, when the maximum bandwidth is set for each VLAN, the QoS control / management function 204 of the wireless base station instructs the QoS function 235 of the wireless MAC / DL layer 231 so that the user of the virtual LAN Control so that the bandwidth allocated to data does not exceed the specified maximum bandwidth. If possible, use the QoS control / management function 304 of the wireless terminal and the QoS function 335 of the wireless MAC / DL layer 331 to control the bandwidth allocated to the user data of this virtual LAN not to exceed the specified maximum bandwidth. I do.
[0103]
In the case of IEEE 802.11, the control of the maximum bandwidth at the wireless base station is exclusively for user data from the wireless base station to the wireless terminal, and the control of the maximum bandwidth at the wireless terminal is exclusively for user data from the wireless terminal to the wireless base station. Only valid for If a Point Coordination Function (PCF) can be used in IEEE 802.11, it may be used for QoS control. When controlling the virtual LAN band on the wired side, the QoS function 223 of the bridge function 221 of the wireless base station and the QoS function 237 of the wired MAC / DL layer are also operated cooperatively.
[0104]
[2] When the wireless base station dynamically sets the virtual LAN to which the wireless terminal belongs, that is, when the wireless base station dynamically configures the virtual LAN and newly accommodates the wireless LAN The operation when the terminal belongs to a virtual LAN that has not been set as a wireless base station until now will be described.
[0105]
One way to dynamically configure a virtual LAN is to interconnect the physical segments that make up the virtual LAN with a VPN. For example, there is a method of setting a VPN from a wireless base station accommodating a new wireless terminal to a physical segment having a home characteristic of a virtual LAN to which the wireless terminal belongs. The connection destination of the VPN is notified from the VLAN control / management function 403 of the authentication / management server to the VLAN control / management function 203 of the wireless base station. The VLAN control / management function 203 controls the VPN function 212 so as to set a necessary VPN.
[0106]
For example, a process of generating a tunnel using L2TP or PPTP is performed. Further, a tunnel may be generated between the terminal and the connection destination specified by IPSec. The IPSec SA (Security Association) may be created by IKE (Internet Key Exchange) or may be provided from the VLAN control / management function 403. In FIG. 1, the wireless base station 112 generates a VPN tunnel using the VLAN control / management function 203 with the VPN server 171 to accommodate the virtual LANs 133 and 134 which are sub-networks of the network 102. ing. With such a method, the dynamic configuration of the virtual LAN can be centrally managed by the authentication / management server 121.
[0107]
(Second embodiment)
FIG. 10 is a network configuration diagram of a wireless base station, a wireless communication terminal, and a system according to the second embodiment of the present invention. FIG. 10 shows an example of a network configuration using a MAC bridge.
FIG. 10 shows that when the wireless base stations 811, 812, 813 are existing wireless base stations not having the function as shown in FIG. 2, a MAC bridge 881 is provided between the wireless base stations 811, 812, 813 and the network 801. And construct a system equivalent to that of FIG. The MAC bridge 881 is different only in that the wireless MAC / DL layer 231 of the wireless base stations 111, 112, and 113 in FIG. 2 is changed to the wired MAC / DL layer, and that the wireless physical layer 241 is changed to the wired physical layer. It differs from the wireless base station of FIG. The wired MAC / DL layer includes a security function, a VLAN function, and a QoS function similarly to the wireless base stations 111, 112, and 113 in FIG. In the present embodiment, only differences from the first embodiment will be described with reference to an example of an outline of message exchange using a MAC bridge.
[0108]
FIG. 11 is a diagram illustrating message exchange among the wireless terminal, the wireless base station, the MAC bridge 881, and the authentication / management server in FIG.
The wireless link setting as the first stage is the same as the link setting in the existing wireless LAN, and is performed between the wireless terminal and the wireless base station. This setting is the same as the wireless link setting in FIG.
[0109]
The authentication / security information distribution, VLAN, and QoS settings, which are the second stage, are performed among three parties: the wireless terminal control / management function 301, the MAC bridge 881, and the authentication / management server 121. The authentication method is performed using the wireless extension method of IEEE 802.1X or another method similar thereto, and when the wireless terminal is authenticated, the security control / management function 402 of the authentication / management server sends the security information in the session. Is delivered. Further, the VLAN control / management function 403 distributes information on the VLAN in which the wireless terminal is accommodated. Further, the QoS control / management function 404 distributes information on the QoS of the wireless terminal. Here, it is not always necessary to set all the information, and only a part described above may be distributed by the constructed system.
[0110]
With the above operation, the security control / management function of the MAC bridge 881 sets the security information of the authenticated wireless terminal to the security function of the wired MAC / DL layer, and performs encryption with the wireless terminal and message authentication. Communication can be performed. Further, by setting the virtual LAN information of the wireless terminal accommodated by the VLAN control / management function of the MAC bridge 881 to the VLAN function of the bridge function, it is possible to bridge the frame of the virtual LAN to which the wireless terminal belongs to the wireless terminal side. it can. Further, the QoS control / management function of the MAC bridge 881 sets the QoS information of the wireless terminal in the QoS function of the bridge function, so that communication in which the band of the wireless terminal is guaranteed or limited can be performed.
[0111]
In addition, using a VPN function of the routing function of the MAC bridge 881, a VPN tunnel typified by L2TP and PPTP is generated with a network other than the network in which the MAC bridge 881 is accommodated, and a virtual LAN of a different network is accommodated. It is also possible. As an example, the MAC bridge 881 generates a VPN tunnel with the VPN server 871 using the VPN function of the routing function. The MAC bridge 881 physically belongs to the network 801, but can also logically belong to the network 802. The MAC bridge 881 can accommodate wireless terminals 844, 845, 846 belonging to virtual LANs 833, 834, which are sub-networks of the network 802.
[0112]
Regarding the third stage, user data exchange, transmission and reception of encrypted and message-authenticated data between the wireless terminal and the MAC bridge 881 are performed. When transmitting data from the wireless base station to the MAC bridge 881, the virtual LAN to which the wireless terminal belongs is included in the frame with the VLAN tag transmitted from the terminal side using the VLAN function of the wired MAC / DL layer of the MAC bridge 881. Only the frame of the tag corresponding to is converted into a frame from which the tag is appropriately removed, and is transmitted to the destination.
[0113]
The security function of the MAC bridge 881 transmits a unicast frame using security information set for each wireless terminal and a multicast / broadcast frame using security information set for each virtual LAN. If QoS is set for the wireless terminal, a frame is transmitted to the wireless terminal by using the QoS function of the MAC bridge 881 in such a manner that a determined band is secured or limited to the determined band. I do. When receiving a frame from a wireless terminal, the frame is decrypted using the security information of the wireless terminal, a tag of a virtual LAN to which the wireless terminal belongs is added, and the frame is transmitted to the terminal.
[0114]
The system using the MAC bridge 881 as described above has an advantage that a system equivalent to the first embodiment can be constructed without improving an existing wireless base station. In addition, since security control, VLAN control, and QoS control mechanisms can be centralized in the MAC bridge 881, there is an advantage that costs such as maintenance can be reduced.
[0115]
Note that the present invention is not limited to the above-described embodiment as it is, and can be embodied by modifying constituent elements in an implementation stage without departing from the scope of the invention. Various inventions can be formed by appropriately combining a plurality of constituent elements disclosed in the above embodiments. For example, some components may be deleted from all the components shown in the embodiment. Further, components of different embodiments may be appropriately combined.
[0116]
【The invention's effect】
According to the present invention, in addition to ensuring security for each wireless terminal by setting unicast security information for each wireless terminal, security for each virtual LAN is also improved by setting broadcast / multicast security information for each virtual LAN. Can be secured.
[Brief description of the drawings]
FIG. 1 is a network configuration diagram of a wireless base station, a wireless communication terminal, and a system according to an embodiment of the present invention.
FIG. 2 is a block diagram of the wireless base station of FIG. 1;
FIG. 3 is a block diagram of the wireless terminal of FIG. 1;
FIG. 4 is a block diagram of the authentication / management server of FIG. 1;
FIG. 5 is a diagram showing message exchange between the wireless terminal, the wireless base station, and the authentication / management server of FIG. 1;
FIG. 6 is a diagram showing a state where the wireless terminal in FIG. 1 selects a wireless base station in the first stage of FIG. 5;
FIG. 7 is a sequence diagram for the wireless terminal in FIG. 6 to select a wireless base station based on a beacon frame from the wireless base station.
FIG. 8 is a sequence diagram for the wireless terminal in FIG. 6 to select a wireless base station based on a probe response frame from the wireless base station.
FIG. 9 is a sequence diagram of a message exchange between the wireless terminal, the wireless base station, and the authentication / management server in the second stage of FIG. 5;
FIG. 10 is a network configuration diagram of a wireless base station, a wireless communication terminal, and a system according to a second embodiment of the present invention.
FIG. 11 is a diagram showing message exchange between the wireless terminal, the wireless base station, the MAC bridge, and the authentication / management server in FIG. 10;
[Explanation of symbols]
101, 102: Network, 111, 112, 113: Wireless base station, 121, 122: Authentication / management server, 131, 132, 133, 134: Virtual LAN, 141, 142, 143, 144, 145, 146: wireless terminal, 151, 152 ... terminal, 161, 162 ... gateway, 171 ... VPN server, 201 ... control / management function, 202 ... security control Management function, 203: VLAN control / management function, 204: QoS control / management function, 211: Routing function, 212: VPN function, 221: Bridge function, 222: VLAN function 223: QoS function, 231: Wireless MAC / DL layer, 232: Wired MAC / DL layer, 233: Security 234 VLAN function, 235 QoS function, 236 VLAN function, 237 QoS function, 241 wireless physical layer, 242 wired physical layer, 301. Control / management function, 302 security control / management function, 303 VLAN control / management function, 304 QoS control / management function, 311 routing function, 312 VPN function, 331: Wireless MAC / DL layer, 333: Security function, 334: VLAN function, 335: QoS function, 341: Wireless physical layer, 401: Control / management function, 402 ..Security control / management function, 403: VLAN control / management function, 404: QoS control / management function, 411: Routing 412: VPN function, 432: Wired MAC / DL layer, 436: VLAN function, 437: QoS function, 442: Wired physical layer, 801, 802: Network, 811 , 812, 813 ... wireless base station, 831, 832, 833, 834 ... virtual LAN, 841, 842, 843, 844, 845, 846 ... wireless terminal, 871 ... VPN server, 881 ..MAC bridges

Claims (18)

認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末が行う通信を仮想ＬＡＮを介して転送する基地局において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備することを特徴とする基地局。An authentication server, a communication terminal that receives authentication from the authentication server via a network, and a base station that transfers communication performed by the communication terminal via a virtual LAN.
Security information acquisition means for acquiring security information generated for each virtual LAN from the authentication server;
Security information distribution means for distributing the security information for each virtual LAN;
Security processing data receiving means for receiving, from a communication terminal in the virtual LAN, one of multicast data and broadcast data security-processed by the communication terminal based on the distributed security information;
Security processing data decoding means for decoding any of the multicast data and broadcast data security-processed by the communication terminal;
Security processing virtual LAN finding means for finding a virtual LAN to which a communication terminal that is a destination of any of the decoded multicast data and broadcast data belongs;
Security processing means for performing security processing on any of the decoded multicast data and broadcast data based on security information corresponding to the discovered virtual LAN;
A base station comprising security processing data transmitting means for transmitting one of the security-processed multicast data and broadcast data to a communication terminal that is a destination of one of the decoded multicast data and broadcast data. 前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項１に記載の基地局。Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information for each virtual LAN;
Quality assurance processing data receiving means for receiving, from the communication terminal in the virtual LAN, any of multicast data and broadcast data which the communication terminal has performed quality assurance processing based on the distributed communication quality assurance information,
Virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing quality assurance processing on any of the received multicast data and broadcast data based on the communication quality assurance information corresponding to the discovered virtual LAN;
It further comprises quality assurance processing data transmitting means for transmitting any of the multicast data and broadcast data subjected to the quality assurance processing to a communication terminal which is a destination of the received multicast data and broadcast data. The base station according to claim 1, wherein 認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して転送し、該有線端末に有線で接続している基地局において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
マルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信するデータ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備することを特徴とする基地局。An authentication server, a communication terminal that receives authentication from the authentication server via a network, a wired terminal that communicates with the communication terminal, and a communication that is performed by the communication terminal is transferred via the virtual LAN, and the wired terminal is connected to the wired terminal. At the base station connected by
Security information acquisition means for acquiring security information generated for each virtual LAN from the authentication server;
Security information distribution means for distributing the security information for each virtual LAN;
Data receiving means for receiving any of multicast data and broadcast data from the wired terminal,
Security processing virtual LAN finding means for finding a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Security processing means for performing security processing on any of the received multicast data and broadcast data based on security information corresponding to the discovered virtual LAN;
A base station comprising security processing data transmitting means for transmitting one of the security-processed multicast data and broadcast data to a communication terminal that is one of the destinations of the received multicast data and broadcast data. 前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記有線端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項３に記載の基地局。Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information for each virtual LAN;
Quality assurance processing data receiving means for receiving from the wired terminal any of the multicast data and broadcast data quality-assured by the wired terminal based on the distributed communication quality assurance information,
Virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing quality assurance processing on any of the received multicast data and broadcast data based on the communication quality assurance information corresponding to the discovered virtual LAN;
It further comprises a quality assurance processing data transmitting means for transmitting either the multicast data or the broadcast data subjected to the quality assurance processing to a communication terminal which is a destination of the received multicast data or broadcast data. The base station according to claim 3, wherein 認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して転送し、該有線端末に有線で接続している基地局において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である前記有線端末に、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備することを特徴とする基地局。An authentication server, a communication terminal that receives authentication from the authentication server via a network, a wired terminal that communicates with the communication terminal, and a communication that is performed by the communication terminal is transferred via the virtual LAN, and the wired terminal is connected to the wired terminal. At the base station connected by
Security information acquisition means for acquiring security information generated for each virtual LAN from the authentication server;
Security information distribution means for distributing the security information for each virtual LAN;
Security processing data receiving means for receiving, from a communication terminal in the virtual LAN, one of multicast data and broadcast data security-processed by the communication terminal based on the distributed security information;
Security processing data decoding means for decoding any of the multicast data and broadcast data security-processed by the communication terminal;
A base station comprising security processing data transmitting means for transmitting one of the decoded multicast data and broadcast data to the wired terminal that is one of the destinations of the decoded multicast data and broadcast data. 前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記宛先である有線端末に対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記宛先である有線端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項５に記載の基地局。Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information for each virtual LAN;
Quality assurance processing data receiving means for receiving, from the communication terminal in the virtual LAN, any of multicast data and broadcast data which the communication terminal has performed quality assurance processing based on the distributed communication quality assurance information,
Virtual LAN finding means for finding a virtual LAN to which a wired terminal that is one of the destinations of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing a quality assurance process on any of the received multicast data and broadcast data, based on communication quality assurance information corresponding to the destination wired terminal;
6. The base station according to claim 5, further comprising a quality assurance processing data transmitting unit that transmits any of the multicast data and the broadcast data subjected to the quality assurance processing to the wired terminal as the destination. 前記セキュリティ情報は、その仮想ＬＡＮの通信に使用されるセキュリティプロトコル、データを暗号化するための鍵、認証情報を示す認証鍵、及びそれら鍵の更新条件のうち少なくとも１つを含むことを特徴とする請求項１又は請求項３又は請求項５に記載の基地局。The security information includes at least one of a security protocol used for communication of the virtual LAN, a key for encrypting data, an authentication key indicating authentication information, and an update condition of the key. The base station according to claim 1 or claim 3 or claim 5. 認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継する基地局に接続する中継装置において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記復号されたマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記基地局を介して送信するセキュリティ処理データ送信手段を具備することを特徴とする中継装置。An authentication server, a communication terminal that is authenticated from the authentication server via a network, and a relay device that connects to a base station that relays communication performed by the communication terminal via a virtual LAN.
Security information acquisition means for acquiring security information generated for each virtual LAN from the authentication server;
Security information distribution means for distributing the security information for each virtual LAN;
Security processing data receiving means for receiving, via the base station, any one of multicast data and broadcast data security-processed by the communication terminal based on the distributed security information from a communication terminal in the virtual LAN;
Security processing data decoding means for decoding any of the multicast data and broadcast data security-processed by the communication terminal;
Virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is one of the destinations of the decoded multicast data and broadcast data belongs;
Security processing means for performing security processing on one of the decrypted multicast data and broadcast data based on security information corresponding to the discovered virtual LAN;
A communication processing unit that transmits any of the security-processed multicast data and broadcast data to the communication terminal that is the destination of the decoded multicast data and broadcast data via the base station. Characteristic relay device. 前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに前記基地局を介して配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項８に記載の中継装置。Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information via the base station for each virtual LAN;
Quality assurance processing data receiving means for receiving, via the base station, any one of the multicast data and the broadcast data which have been subjected to the quality assurance processing by the communication terminal based on the distributed communication quality assurance information, from the communication terminal in the virtual LAN; ,
Virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing quality assurance processing on any of the received multicast data and broadcast data based on the communication quality assurance information corresponding to the discovered virtual LAN;
It further comprises a quality assurance processing data transmitting means for transmitting either the multicast data or the broadcast data subjected to the quality assurance processing to a communication terminal which is a destination of the received multicast data or broadcast data. The relay device according to claim 8, wherein 認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継し、該有線端末に有線で接続している基地局に接続する中継装置において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
マルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信するデータ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記基地局を介して送信するセキュリティ処理データ送信手段を具備することを特徴とする中継装置。An authentication server, a communication terminal that receives authentication from the authentication server via a network, a wired terminal that communicates with the communication terminal, and a communication that is performed by the communication terminal is relayed via a virtual LAN, and the wired terminal is connected to the wired terminal. A relay device connected to the base station connected by
Security information acquisition means for acquiring security information generated for each virtual LAN from the authentication server;
Security information distribution means for distributing the security information for each virtual LAN;
Data receiving means for receiving any of multicast data and broadcast data from the wired terminal,
Virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Security processing means for performing security processing on any of the received multicast data and broadcast data based on security information corresponding to the discovered virtual LAN;
The communication terminal, which is a destination of any one of the received multicast data and broadcast data, includes a security processing data transmitting unit that transmits any of the security-processed multicast data and broadcast data via the base station. Characteristic relay device. 前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに前記基地局を介して配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記有線端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項１０に記載の中継装置。Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information via the base station for each virtual LAN;
Quality assurance processing data receiving means for receiving from the wired terminal any of the multicast data and broadcast data quality-assured by the wired terminal based on the distributed communication quality assurance information,
Virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing quality assurance processing on any of the received multicast data and broadcast data based on the communication quality assurance information corresponding to the discovered virtual LAN;
It further comprises a quality assurance processing data transmitting means for transmitting either the multicast data or the broadcast data subjected to the quality assurance processing to a communication terminal which is a destination of the received multicast data or broadcast data. The relay device according to claim 10, wherein 認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継し、該有線端末に有線で接続している基地局に接続する中継装置において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である前記有線端末に、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかを前記基地局を介して送信するセキュリティ処理データ送信手段を具備することを特徴とする中継装置。An authentication server, a communication terminal that receives authentication from the authentication server via a network, a wired terminal that communicates with the communication terminal, and a communication that is performed by the communication terminal is relayed via a virtual LAN, and the wired terminal is connected to the wired terminal. A relay device connected to the base station connected by
Security information acquisition means for acquiring security information generated for each virtual LAN from the authentication server;
Security information distribution means for distributing the security information for each virtual LAN;
Security processing data receiving means for receiving, via the base station, any one of multicast data and broadcast data security-processed by the communication terminal based on the distributed security information from a communication terminal in the virtual LAN;
Security processing data decoding means for decoding any of the multicast data and broadcast data security-processed by the communication terminal;
A security processing data transmitting unit that transmits any of the decoded multicast data and broadcast data to the wired terminal that is one of the destinations of the decoded multicast data and broadcast data via the base station. Characteristic relay device. 前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに前記基地局を介して配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記宛先である有線端末に対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記宛先である有線端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項１２に記載の中継装置。Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information via the base station for each virtual LAN;
Quality assurance processing data receiving means for receiving, via the base station, any one of the multicast data and the broadcast data which have been subjected to the quality assurance processing by the communication terminal based on the distributed communication quality assurance information, from the communication terminal in the virtual LAN; ,
Virtual LAN finding means for finding a virtual LAN to which a wired terminal that is one of the destinations of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing a quality assurance process on any of the received multicast data and broadcast data, based on communication quality assurance information corresponding to the destination wired terminal;
13. The relay apparatus according to claim 12, further comprising a quality assurance processing data transmitting unit that transmits any of the multicast data and the broadcast data subjected to the quality assurance processing to the wired terminal as the destination. 前記セキュリティ情報は、その仮想ＬＡＮの通信に使用されるセキュリティプロトコル、データを暗号化するための鍵、認証情報を示す認証鍵、及びそれら鍵の更新条件のうち少なくとも１つを含むことを特徴とする請求項８又は請求項１０又は請求項１２に記載の中継装置。The security information includes at least one of a security protocol used for communication of the virtual LAN, a key for encrypting data, an authentication key indicating authentication information, and an update condition of the key. The relay device according to claim 8, wherein the relay device performs the operation. 仮想ＬＡＮ情報を含んでいるビーコンフレームをブロードキャストする送信手段を具備する基地局と、
前記仮想ＬＡＮ情報を取得する情報取得手段と、前記取得された仮想ＬＡＮ情報に基づいて前記基地局に接続することが可能か否かを判定する接続判定手段と、前記基地局に接続することが可能であると判定した場合に前記基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を具備することを特徴とする通信システム。A base station comprising transmitting means for broadcasting a beacon frame including virtual LAN information,
Information acquiring means for acquiring the virtual LAN information; connection judging means for judging whether or not connection to the base station is possible based on the acquired virtual LAN information; and connection to the base station. A communication system comprising: a communication terminal including a link establishing unit that establishes a wireless link with the base station when it is determined that the communication is possible. 通信端末からのプローブ要求フレームを受信する受信手段と、該プローブ要求フレームに応答して仮想ＬＡＮ情報を含んでいるプローブ応答フレームを前記通信端末に送信する送信手段とを具備する基地局と、
前記プローブ要求フレームをブロードキャストする送信手段と、前記仮想ＬＡＮ情報を取得する取得手段と、前記取得された仮想ＬＡＮ情報に基づいて前記基地局に接続することが可能か否かを判定する判定手段と、前記基地局に接続することが可能であると判定した場合に前記基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を具備することを特徴とする通信システム。A base station comprising: receiving means for receiving a probe request frame from a communication terminal; and transmitting means for transmitting a probe response frame including virtual LAN information to the communication terminal in response to the probe request frame;
A transmitting unit that broadcasts the probe request frame, an obtaining unit that obtains the virtual LAN information, and a determining unit that determines whether it is possible to connect to the base station based on the obtained virtual LAN information. And a communication terminal comprising a link establishing means for establishing a radio link with the base station when it is determined that connection to the base station is possible. 認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継する基地局からなる通信システムにおいて、
前記仮想ＬＡＮごとにセキュリティ情報を生成するセキュリティ情報生成手段と、該生成したセキュリティ情報を対応する仮想ＬＡＮに配信するセキュリティ情報配信手段を具備する認証サーバと、
前記基地局から仮想ＬＡＮ情報を取得する取得手段と、前記取得した仮想ＬＡＮ情報に基づいて前記基地局に接続することが可能か否かを判定する判定手段と、前記基地局に接続することが可能であると判定した場合に前記基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末と、
前記セキュリティ情報を取得するセキュリティ情報取得手段と、前記取得したセキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記通信端末から受信するセキュリティ処理データ受信手段と、前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、前記発見された仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備する基地局を具備することを特徴とする通信システム。In a communication system including an authentication server, a communication terminal that receives authentication from the authentication server via a network, and a base station that relays communication performed by the communication terminal via a virtual LAN,
An authentication server including security information generation means for generating security information for each virtual LAN, and security information distribution means for distributing the generated security information to the corresponding virtual LAN;
Acquiring means for acquiring virtual LAN information from the base station, determining means for judging whether or not it is possible to connect to the base station based on the acquired virtual LAN information, and connecting to the base station. A communication terminal comprising a link establishing means for establishing a wireless link with the base station when it is determined that the communication is possible;
Security information acquiring means for acquiring the security information, security information distributing means for distributing the acquired security information for each virtual LAN, multicast data and broadcast security-processed by the communication terminal based on the distributed security information Security processing data receiving means for receiving any of the data from the communication terminal, security processing data decoding means for decoding any of the multicast data and broadcast data subjected to security processing by the communication terminal, and the decoded multicast data and broadcast Security processing virtual LAN discovery means for discovering a virtual LAN to which a communication terminal that is one of data destinations belongs, and security corresponding to the found virtual LAN Security processing means for performing security processing on one of the decoded multicast data and broadcast data based on the decrypted multicast data and the communication terminal which is a destination of the decoded multicast data and broadcast data. And a base station having security processing data transmitting means for transmitting any of the broadcast data. 前記基地局は、さらに、
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する品質保証処理仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段を具備することを特徴とする請求項１７に記載の通信システム。The base station further comprises:
Assurance information acquisition means for acquiring communication quality assurance information set for each virtual LAN from the authentication server;
Guarantee information distribution means for distributing the communication quality assurance information for each virtual LAN;
Quality assurance processing data receiving means for receiving, from the communication terminal in the virtual LAN, any of multicast data and broadcast data which the communication terminal has performed quality assurance processing based on the distributed communication quality assurance information,
Quality assurance processing virtual LAN finding means for finding a virtual LAN to which a communication terminal that is a destination of any of the received multicast data and broadcast data belongs;
Quality assurance processing means for performing quality assurance processing on any of the received multicast data and broadcast data based on the communication quality assurance information corresponding to the discovered virtual LAN;
A quality assurance process data transmitting unit that transmits any of the multicast data and broadcast data subjected to the quality assurance process to a communication terminal that is a destination of any of the received multicast data and broadcast data. The communication system according to claim 17, wherein:
JP2003101714A 2003-04-04 2003-04-04 Base station, repeating device and communication system Pending JP2004312257A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003101714A JP2004312257A (en) 2003-04-04 2003-04-04 Base station, repeating device and communication system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003101714A JP2004312257A (en) 2003-04-04 2003-04-04 Base station, repeating device and communication system

Publications (1)

Publication Number Publication Date
JP2004312257A true JP2004312257A (en) 2004-11-04

Family

ID=33465417

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003101714A Pending JP2004312257A (en) 2003-04-04 2003-04-04 Base station, repeating device and communication system

Country Status (1)

Country Link
JP (1) JP2004312257A (en)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006051638A1 (en) * 2004-11-12 2006-05-18 Matsushita Electric Industrial Co., Ltd. Communication system, wireless lan base station controller, and wireless lan base station device
WO2006068088A1 (en) * 2004-12-21 2006-06-29 Matsushita Electric Industrial Co., Ltd. Access network system, base station device, network connection device, mobile terminal, and authentication method
EP1760982A1 (en) 2005-09-06 2007-03-07 Fujitsu Ltd. Security setting in wireless communication network
JP2007267301A (en) * 2006-03-30 2007-10-11 Fujitsu Access Ltd Encrypted communication system, and encryption key updating method
JP2008538673A (en) * 2005-04-22 2008-10-30 トムソン ライセンシング Secure anonymous wireless LAN access mechanism
JP2009193326A (en) * 2008-02-14 2009-08-27 Oki Electric Ind Co Ltd Authentication system, authentication method and server
JP2013538021A (en) * 2010-09-24 2013-10-07 インテル・コーポレーション Method and apparatus for authenticating and associating wireless devices
JP2014504826A (en) * 2011-01-12 2014-02-24 アルカテル−ルーセント Method and apparatus for distributing keys for PTP protocol
JP2018527849A (en) * 2015-09-17 2018-09-20 アルカテル−ルーセント Apparatus, system and method for native and bridged communication in a cellular access network
JP2019530349A (en) * 2016-09-27 2019-10-17 エーナイン・ドット・コム インコーポレイテッドＡ９．ｃｏｍ， Ｉｎｃ． How to share network settings

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1093613A (en) * 1996-09-12 1998-04-10 Hitachi Cable Ltd Switching hub
JPH10173692A (en) * 1996-12-06 1998-06-26 Nippon Telegr & Teleph Corp <Ntt> Lan system
JP2003060656A (en) * 2001-08-15 2003-02-28 Allied Tereshisu Kk Vlan constructing method in wireless lan, vlan packet processing program for wireless repeater, recording medium recording vlan packet processing program for wireless repeater, wireless repeater with vlan function and wireless vlan system

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1093613A (en) * 1996-09-12 1998-04-10 Hitachi Cable Ltd Switching hub
JPH10173692A (en) * 1996-12-06 1998-06-26 Nippon Telegr & Teleph Corp <Ntt> Lan system
JP2003060656A (en) * 2001-08-15 2003-02-28 Allied Tereshisu Kk Vlan constructing method in wireless lan, vlan packet processing program for wireless repeater, recording medium recording vlan packet processing program for wireless repeater, wireless repeater with vlan function and wireless vlan system

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006140806A (en) * 2004-11-12 2006-06-01 Matsushita Electric Ind Co Ltd Communication system, wireless lan base station controller and wireless lan base station system
WO2006051638A1 (en) * 2004-11-12 2006-05-18 Matsushita Electric Industrial Co., Ltd. Communication system, wireless lan base station controller, and wireless lan base station device
US7756069B2 (en) 2004-11-12 2010-07-13 Panasonic Corporation Communication system, wireless LAN base station controller, and wireless LAN base station device
JP4558454B2 (en) * 2004-11-12 2010-10-06 パナソニック株式会社 Communications system
WO2006068088A1 (en) * 2004-12-21 2006-06-29 Matsushita Electric Industrial Co., Ltd. Access network system, base station device, network connection device, mobile terminal, and authentication method
US8285992B2 (en) 2005-04-22 2012-10-09 Thomson Licensing Method and apparatuses for secure, anonymous wireless LAN (WLAN) access
JP2008538673A (en) * 2005-04-22 2008-10-30 トムソン ライセンシング Secure anonymous wireless LAN access mechanism
JP4848421B2 (en) * 2005-04-22 2011-12-28 トムソン ライセンシング Secure anonymous wireless LAN access mechanism
EP1760982A1 (en) 2005-09-06 2007-03-07 Fujitsu Ltd. Security setting in wireless communication network
US8374339B2 (en) 2005-09-06 2013-02-12 Fujitsu Limited Security setting method of wireless communication network, wireless communication network system, client device and recording medium
JP2007267301A (en) * 2006-03-30 2007-10-11 Fujitsu Access Ltd Encrypted communication system, and encryption key updating method
JP2009193326A (en) * 2008-02-14 2009-08-27 Oki Electric Ind Co Ltd Authentication system, authentication method and server
JP2013538021A (en) * 2010-09-24 2013-10-07 インテル・コーポレーション Method and apparatus for authenticating and associating wireless devices
KR101496596B1 (en) * 2010-09-24 2015-03-09 인텔 코오퍼레이션 Method and apparatus for wireless device authentication and association
JP2014504826A (en) * 2011-01-12 2014-02-24 アルカテル−ルーセント Method and apparatus for distributing keys for PTP protocol
JP2018527849A (en) * 2015-09-17 2018-09-20 アルカテル−ルーセント Apparatus, system and method for native and bridged communication in a cellular access network
JP2019530349A (en) * 2016-09-27 2019-10-17 エーナイン・ドット・コム インコーポレイテッドＡ９．ｃｏｍ， Ｉｎｃ． How to share network settings
US11297558B2 (en) 2016-09-27 2022-04-05 A9.Com. Inc. Methods for network configuration sharing

Similar Documents

Publication Publication Date Title
US7441043B1 (en) System and method to support networking functions for mobile hosts that access multiple networks
US7797530B2 (en) Authentication and encryption method and apparatus for a wireless local access network
US8046577B2 (en) Secure IP access protocol framework and supporting network architecture
CA2413944C (en) A zero-configuration secure mobility networking technique with web-base authentication method for large wlan networks
US7814322B2 (en) Discovery and authentication scheme for wireless mesh networks
US7792527B2 (en) Wireless network handoff key
JP4675909B2 (en) Multihoming and service network selection using IP access network
US8335490B2 (en) Roaming Wi-Fi access in fixed network architectures
JP4407452B2 (en) Server, VPN client, VPN system, and software
EP1935143B1 (en) Virtual lan override in a multiple bssid mode of operation
JP4575679B2 (en) Wireless network handoff encryption key
JP3955025B2 (en) Mobile radio terminal device, virtual private network relay device, and connection authentication server
US20050223111A1 (en) Secure, standards-based communications across a wide-area network
CA2414044C (en) A secure ip access protocol framework and supporting network architecture
JP2004312257A (en) Base station, repeating device and communication system
WO2011064858A1 (en) Wireless authentication terminal
JP3816850B2 (en) MAC bridge device and terminal device
Li et al. Self-organizing security scheme for multi-hop wireless access networks

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20040902

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20060712

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060718

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20061114