JP2004533749A - ハイブリッド網 - Google Patents

Abstract

８０２．１１ｂ無線ＬＡＮ規格がＷＥＰの弱点により妥協させられている。この発明は、ファイヤウォールもしくはＶＰＮゲートウェイを経てＬＡＮへ向けた無線伝送にルート設定し、無線伝送を暗号化する。
【選択図】図２

Description

【技術分野】
【０００１】
この発明はハイブリッド（hybrid）の固定−モバイル通信網に係り、とくに、ローカルエリア網（ＬＡＮs）への無線アクセスに関する。
【背景技術】
【０００２】
インターネットとワールド・ワイド・ウェブ（World Wide Web）との登場で、数多くの人々が現在作業する方法は、人々が必要としているデータにアクセスするために網への接続ができるとする人々の能力によって決定される。はっきりとしているのは、人々の作業が移動を含んでいるときには、その人達が正規の事務所から離れているときに、その移動が国際的なものであるか、あるいは単に工場内の別な場所とか事務所の建物内といったものであるかどうかによって最大の混乱（dislocation）をその人達が経験する。
【０００３】
規格としてＯＳＩ（オープンシステム相互接続）（Open Systems Interconnect）の七層（レイヤ）基準モデルを参照することとし、とくに、データリンクレイヤ（レイヤ２）−これは例えばイーサーネットフレームである−と、ネットワークレイヤ（レイヤ３）−これは例えばＩＰパケットである−とを参照することとする。（レイヤ１は物理レイヤであり、例えばワイヤ／ファイバである。）
ＶＬＡＮ（仮想ＬＡＮ）は論理的ＬＡＮであって、そこでは、トポロジィ的に見て分散されているホストと網装置とが単一のブロードキャストドメインを共有している。ＶＬＡＮはいくつもの理由のうちのいくつかについて展開されていて、その理由にはブロードキャスト制御、セキュリティ、パフォーマンス、及び網管理の単純化が含まれている。しかしながら、スイッチされた（switched）ＶＬＡＮはフレキシビリティ（flexibility）と安全性を、協働するデスクトップへ提供するだけであり、それ以上のことはいない。固定と移動（fixed and mobile）のドメイン間には障害（barrier）が存在していて、両者間を簡単にロームする(roam)ことはむづかしい。
【０００４】
現在、ＬＡＮへ移動ユーザがアクセスできるようにする無線ＬＡＮ（ＷＬＡＮ）システムでの大きな関心が存在している。ＶＬＡＮは物理的に別個なセグメントで構成されていて、このセグメントは一つの大きな網として考えられている。ＶＬＡＮはトランスペアレントな（transparent）データリンクレイヤコネクティビティ（ＯＳＩレイヤ２）を提供し、かつフラットＩＰアドレス空間の使用を前提とし、また無線ＬＡＮ展開についての理想的なプラットホームにＶＬＡＮを作ることになる。すべてのＷＬＡＮアクセス点を同一のＶＬＡＮに接続することにより、有効な網アドレスを備えた移動端末が、システムをまたいで継ぎ目なしに（seamlessly）、ＯＳＩネットワークレイヤ（レイヤ３）コネクティビティを妨害することなく、（したがってより高いレイヤ応用を妨害することなく）、ロームすることができる。網トポロジィからの論理ＬＡＮの接続解除（decoupling）は、無線アクセスポイントが、網コネクティビティ要件よりもむしろ、無線カバー範囲（coverage）によって支配されたサイトの周りに任意に分散されるようにできることを意味している。
【０００５】
一つの標準化された変形例は、ＩＥＥＥ規格番号８０２．１１ｂで知られていて、とくに米国で、広く採用されるようになってきており、会社の施設内とか、空港のような公衆空間で展開されている。ホームネットワーキング装置のベンダはロウエンド（low-end）８０２．１１ｂシステムを提供し始めていて、それにより被雇用者はその者のオフィスＰＣＭＣＩＡ（パーソナル・コンピュータ・メモリ・カード国際協会）(Personal Computer Memory Card International Association)のカードでドメスティック（国内）無線網を備えたものを使用できる。ＷＬＡＮは一般に産業、科学、及び医用（ＩＳＭ）無線帯域で２．４ＧＨｚ周辺のものを用い、また商用システムは各無線アクセスポイントからの生の(raw)帯域幅で全体で１１Ｍｂｉｔ／ｓのものを提供する。
【０００６】
現在のＧＰＲＳ（ジェネラル・パケット・ラジオ・システム）(General Packet Radio System)サービスはデータリンクレイヤトンネルを使用するが、このトンネルは、移動デバイスから適当なゲートウェイに向けてデータを伝えるために下部に置かれているネットワークレイヤ網を介して構築されている。ローミングに当っては、このトンネル基盤構造（インフラストラクチャ）(infrastructure)のあるものは網内でかなりのオーバーヘッド（overhead）で再生産される必要がある。ＧＰＲＳシステムは、ローミング問題に対する解を提供するが、安全性問題に対してではない。
【０００７】
図１は既知のＷＬＡＮトポロジの模式的な表示図である。ローカルエリア網（ＬＡＮ）１００は、多数の無線アクセスポイント（ＡＰ）１１０を備えている。図示の例示の網では、ＬＡＮは交換網であり、エッジスイッチ１３０といくつかのコアスイッチ１２０とを備えている。固定端末１５０と無線アクセス点１１０とは、多数のエッジスイッチ１３０の一つにそれぞれ接続されていて、エッジスイッチはコアスイッチ１２０にすべてが接続されている。別な網（隣接しているＬＡＮもしくはインターネットのようなもの）への接続を許すために、コアスイッチ１２０はルータ１４０に接続されてよい。移動端末１６０は、例えばＩＥＥＥ８０２．１１ｂにより定義されたプロトコルのような、適当な通信プロトコルを用いて、無線アクセスポイント１１０の一つに無線接続する。一般に、移動端末はラップトップ計算機もしくはパーソナル・デジタル・アシスタント（ＰＤＡ）であって、これが適当なモデムを組込んでいる。無線アクセスポイント１１０は移動端末１６０からの無線通信を受けて、データパケットを変換（translate）し、それによりデータパケットが固定網をまたいで送られることができるようになり、それからこのパケットが関係しているエッジスイッチ１３０に送られて、それにより正しい宛先に向けて送られることができるようになる。
【０００８】
ＶＬＡＮ（仮想ＬＡＮ）は論理的ＬＡＮであり、そこではトポロジィ的に分散されたホストと網装置とが単一のブロードキャストドメインを共用する。ＶＬＡＮは物理的に別とされるセグメントを備えていて、このセグメントは一つの大きな網となるものと考えられている。ＶＬＡＮはトランスペアレントなＯＳＩレイヤ２（データリンクレイヤ）コネクティビティを提供して、フラットなＩＰアドレス空間の使用を前提とし、これがＶＬＡＮをＷＬＡＮ展開用の理想的なプラットホームに作り上げる。ＶＬＡＮはブロードキャスト制御、安全性、パフォーマンス、網管理の単純化を含む多数の理由のうちのいくつかについて展開される。すべてのＷＬＡＮアクセスポイントを同じＶＬＡＮに接続することによって、有効な網アドレスを有する移動端末はシステムをまたいで継ぎ目なしでロームでき、その際にＯＳＩレイヤ３（ネットワークレイヤ）コネクティビティを妨害することなく、（したがってより高いレイヤ適用を妨害することなく）ロームできる。網トポロジィから論理ＬＡＮの接続を解くことの意味するところは、無線アクセスポイントは、網コネクティビティ要件よりもむしろ、無線カバー範囲により支配されるサイトの周辺に任意に分散されることができる。
【０００９】
各ＶＬＡＮはルータ（router）インターフェースもしくはサブインターフェースで終端されることを必要とし、このインターフェースはそのＶＬＡＮについてのアドレス範囲とサブネットゲートウェイとを定義している。ＶＬＡＮ間通信は、ルータがルート設定された複数アクセス網内でのＩＰサブネットワーキングと正確に同一のやり方となっていることを求める。この潜在的なボトルネック（bottleneck）は“良く振舞っている(well behaved)”ＶＬＡＮについての微かな理解（notion）を生じさせていて、この理解は、伝統的に固定網についてはＶＬＡＮセグメントに対して８０％のトラヒックが局所的に留まっているようなものとなっている。ＷＬＡＮ展開で使用されるときには、ＶＬＡＮの使用のための主たる動機付けは、地理的に分散された、フラットなコネクティビティについての容易さとなる。そこでのトラヒックの大規模なマジョリティ（majority）はゲートウェイを通って送られて固定された、外部の網内に流入されることになる可能性が非常に大きい。無線ＶＬＡＮゲートウェイの容量要件は、そこでＶＬＡＮが“よく振舞っている”のではないと仮定して、大きさを決められることを要する。
【００１０】
無線伝送リンク上でデータを送ることは安全性問題を生じさせるが、これは第三者にとって網への未承認のアクセスを得ようとしたり、第三者によって無線信号が受領されたりすることが可能であることによる。このことは、未承認のユーザ（“ハッカー(hacker)”のこと）が、承認されている移動端末を“スプーフする（spoof）”という機会を与えてしまい、（即ち、未承認の端末が承認されたものとして出現するようにする機会を与えてしまい）、あるいは無線伝送リンク上で送られたパケットの内容にアクセスするという試みための機会を与えてしまう。８０２．１１ｂ規格は有線等価のプライバシイ（Wired Equivalent Privacy）(ＷＥＰ)の適宜の使用を含んでいて、ＷＥＰは予め共用した暗号キーに基づいた暗号機構となっている。しかしながらカリフォルニア大学におけるインターネット・セキュリティ・適用・認証及び暗号（Internet Security, Application, Authentication and Cryptography）(ＩＳＡＡＣ)グループによる研究は、パケットの完全性（integrity）を確保するために使用される方法の帰結として、暗号化されたパケットにとって、第三者により再方向付けされることになることが可能であるとしている。復号化は、無線アクセスポイントを通ってパケットが固定網に入るとすぐに生ずるのであるから、このことは深刻な関心事となる。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
安全なＶＰＮ（仮想私設網）(Virtual Private Networks)を、いずれかの基盤構造もしくは基板構成形式の組合せ上で、構築するための能力を有するネットワークアドミニストレータに対する必要性がある。伝統的な仮想私設網製品は、ＶＰＮ上のサイト間で公衆網を往来するプライベートインターネットプロトコル（ＩＰ）トラヒックをカプセル化する。カプセル化は各ＶＰＮサイトでゲートウェイによって処理され、このゲートウェイはＩＰルータとして各網に対して現れる。ＶＰＮ内部のトラヒックフローは、各網のコアでルータ内の設定によって決められる。ＶＰＮは、複数のヘテロジニアス（heterogeneous）網上で非常に速かに設定されまた取り外されたりできるという点で、極めてフレキシブルである。
【００１２】
ＩＰＳｅｃ(インターネット・セキュリティ・プロトコル)はトランスポートレイヤセキュリティプロトコルレイヤであって、インターネットプロトコル（ＩＰ）の最上部で直接的に動作している。これがＩＰ ＶＰＮ上のサイト間でトラヒックをカプセル化するための規格と急速になりつつある。現実には二つの別個のプロトコルが存在し、認証用ヘッダ（Authenticating Header）（ＡＨ）とカプセル化用セキュリティペイロード（Encapsulating Security Payload）（ＥＳＰ）である。両方ともにエンドポイントとデータ認証能力を提供するが、ＥＳＰはまたデータの機密性（confidentiality）も提供する。両方のプロトコルは、通信しているエンドポイントの各対間（通信の各方向間で一つのＳＡがある）セキュリティアソシエーション（Security Association）（ＳＡ）を交渉することにより動作し、これが共通のセキュリティコンテキスト（アルゴリズム、キー及び状態）を確立して情報にとって安全に交換されることができるようにする。
【課題を解決するための手段】
【００１３】
この発明の第一の特徴によると、共通の物理的インタフェースの端末間でのデータトラヒックを処理する方法が提供されて、該端末が複数の異なる安全性クラスに割当てられて、また低い方の安全性クラスに割当てられた端末からのトラヒックが、高い方の安全性クラスに割当てられた端末に向けて搬送されるときに、暗号化される。
【００１４】
第二の特徴によると、ユーザにより生成され、異なる安全性クラスを有しているが同一の物理的基盤構造（infrastructure）上で搬送される網トラヒックの隔離（segregation）のために構成された通信網が提供され、該網は、物理的基盤構造を共用している複数の構成成分である仮想網についての接続手段であり、使用時には各構成成分である仮想網がそれぞれの安全性クラスを有している網トラヒックを搬送する１またはそれ以上の端末に接続されるように構成された接続手段と、低い安全性のユーザを支持している第一の仮想網上でのトラヒックを暗号化する暗号化手段と、構成成分である仮想網を相互に接続するゲートウエイであって、低い方の安全性クラスと関係する第一の仮想網から高い方の安全性クラスと関係する第二の仮想網に向けて通過する網トラヒックを識別する手段と、正しく暗号化されている該第一の仮想網からの網トラヒックだけが該高い安全性のユーザを支持している該第二の仮想網上を搬送されるようにできることとするアクセス手段とを有しているゲートウエイと、を具備する。
【発明の効果】
【００１５】
この発明は、異なる安全性のレベルを有する網ユーザの隔離(segregation)を、同じ物理的基盤構造を用いて可能としている。低い安全性のユーザと、より高い安全性のユーザとは同じ物理的網上に載せられた異なる仮想網に接続され、ファイヤウォール能力を備えたゲートウェイが仮想網間でのアクセス用に提供されている。低い安全性ユーザを支持している仮想網上でトラヒックを暗号化し、かつファイヤウォールがこのように暗号化されたトラヒックだけが高い安全性のユーザを支持している仮想網に到達することができるようにすることによって、高い安全性網の完全性（integrity）が確保できる。また、もし若干のユーザが無線端末を有しているとすると、この仮想網構造は異なる物理的アクセスポイントをまたいだ端末の移動度（mobility）についての支持を提供する。
【００１６】
この発明は、独占的なネットワーキング技術についての必要性を取除き、既存の独占的なＶＬＡＮは固定された端末が提供されていない場所にまで拡張できるようにする。低い方の安全性クラスを有する網トラヒックがインターネット・セキュリティ・プロトコルを用いて暗号化されること、また安全性ゲートウェイがファイヤウォールシステムを含んでいて、それにより高い方の安全性で固定の網で備えることができるものが移動端末の存在によって妥協することがないようにすることが好ましい。
【発明を実施するための最良の形態】
【００１７】
この発明の実施例を、例示の目的に限って、添付の図面を参照して記述して行く。図２は、この発明による網の模式的記述を示す。ローカルエリア網（ＬＡＮ）２００は、多数の無線アクセスポイント（ＡＰ）２１０，２１１，２１２，２１３を備えている。図示の例示の網では、ＬＡＮは交換網であり、エッジスイッチ２２０，２２１，２２２，２２３，２２４を備え、これがエンドデバイス２５２，２５３，２６１，２６３を接続して不適切なＶＬＡＮへのトラヒックにタグ付けし、またコアスイッチ２３０、２３５があってレイヤ２バックボーンを作っている。固定端末２５２，２５３と無線アクセスポイント２１０，２１１，２１２，２１３は各々がエッジスイッチ２２０，２２１，２２２，２２３，２２４の一つに接続され、また各エッジスイッチ２２０，２２１，２２２，２２３，２２４はコアスイッチの一つ２３０または２３５に接続されている。コアスイッチ２３０，２３５もまた相互接続されている。
【００１８】
実線はエッジスイッチ２２０，２２１，２２２，２２３，２２４とコアスイッチ２３０，２３５との間の共通の物理的接続を示している。これらの接続は８０２．１ｑトランクとして動作し、したがってタグ付けしたトラヒックをすべてのＶＬＡＮから運んでいる。このような次第で、ＶＬＡＮ指定が物理的なエンドユーザポート２５２，２５３，２６１，２６２毎に行なわれ、それによって、スイッチ２２３は網アクセスをセキュリティのないデバイス２６３と、セキュリティを保っているデバイス２５３との両方へのアクセスを与えることができ、その際にレイヤ２で絶縁(isolation)を提供している。他の網（近隣のＬＡＮとかインターネットのような網）への接続を可能とするために、コアスイッチ２３０の一つが内部ルータ２４０に接続されている。
【００１９】
移動端末２６１，２６３は無線接続を無線アクセスポイント２１０，２１１，２１２，２１３に対し行ない、例えば８０２．１１ｂにより定義されたプロトコルのような、適当な通信プロトコルが用いられる。ＶＬＡＮ間のコネクティビティはレイヤ３までの移動とルート設定の使用とを要求する。コアスイッチ２３５の一つは外部ルータ２７０に接続されていて、ルータ２７０はその先がファイヤウォール２８０の外部側に接続されている。このことが、セキュリティのないＶＬＡＮデバイス２６１，２６３とファイヤウォールの外側への経路（鎖線表示）との間のルート設定を提供している。内部ルータ２４０はファイヤウォール２８０の内部側に接続されていて、セキュリティのあるＶＬＡＮデバイス２５２，２５３とファイヤウォール２８０の内部への経路（三重線）との間のＩＰコネクティビティを提供する。ファイヤウォール２８０は、外部網２０５（例えばインターネットでもよい）から（例えばイントラネットである）ＬＡＮ２００を分ける。
【００２０】
網レイヤルータコネクティビティはＬＡＮを作り上げているＶＬＡＮの安全性状態を定義する。その結果、ＬＡＮが安全であるとして定義し、外部網を安全でないとして定義することは可能である。ＬＡＮはハイブリッド網であり、この網は固定ＬＡＮと無線ＬＡＮとの両方を含んでいる。ＷＬＡＮは多数のＶＬＡＮを備えていて、その各々はコアスイッチ２３０，２３５の一つによりサービスを受けるというようにＬＡＮは構成されている。どうなっていても、移動端末２６１，２６３の各々は基地局２１０の一つを介して網に接続されていて、基地局はすべてが単一のＶＬＡＮ２３５に接続されている。（あるいは、移動端末の数がすべてを単一の無線専用ＶＬＡＮに接続することが不可能であるとすると、移動端末は、各々が多数のこのような無線専用ＶＬＡＮの一つに接続されているかする。）同じように、固定端末のすべてが異なるＶＬＡＮ２３０に接続されていて（一般にはＶＬＡＮ２３０は複数ある）、それにより移動端末と固定端末は隔離されている。固定ＶＬＡＮ２３０はファイヤウォール２８０の内部に接続されていて、安全なＬＡＮを構成するが、それでも無線ＶＬＡＮ２３５はファイヤウォール２８０の外部側に接続されていて、それにより安全でないとみなされる。
【００２１】
定義によると、固定端末２５２，２５３は固定網に接続されているとして“信頼される（trusted）”とすることができ、したがって、安全性ポイリシイであって固定ＶＬＡＮ２３０と関係しているものは、固定端末がＬＡＮ内部で利用可能なサーバと網サービスとにアクセスできるようにするとともにファイヤウォールを経て外部網２０５へのアクセスにもあたるようにしている。ファイヤウォール２８０は外部網からＬＡＮに接続されている端末とサーバに向けた未認証のアクセスを妨げている。
【００２２】
同じく、安全でないとして無線ＶＬＡＮ２３５に対するアクセスを定義することが可能である。この実施例では、ＷＥＰプロトコルが、最少でも、無線通信リンクについて安全性を与えるために施行されている。安全な無線リンクはＩＰＳｅｃ（インターネット・セキュリティ・プロトコル）“トンネル”を移動端末からファイヤウォールの外側に向けて、外部ルータ２７０を経由して確立することにより提供される。ＩＰＳｅｃをＷＥＰに優先して使用することは安全という負担を無線アクセスポイント２１０からファイヤウォール２８０へ移動する。移動端末からのすべてのパケットは関係している無線ＶＬＡＮ２３５から外部ルータに向けてスイッチされる。もし移動端末２６１がＬＡＮに接続されている固定サーバへの接続を試みると、（即ち、ファイヤウォール２８０の内部側にあるサーバへの接続を試みると）、そのときには移動端末２６１はファイヤウォールの外側からファイヤウォール２８０を通ってデータを送るための許可を得なければならない。これは適当な識別と認証プロセスにより達成される。このような認証はログオンアイデンティティとパスワードとをディジタルサーティフィケートもしくは暗号キーと組合せたものであってもよい。明らかにこの場合には、ファイヤウォール２８０は適切な証明機関もしくはＰＫＩ（公開キー基盤構造）（Public Key Infrastructure）サーバにアクセスして認証方法を動作可能とする。
【００２３】
移動端末２６１，２６３がファイヤウォール２８０を通ってデータパケットを成功のうちに送ったときには、このパケットは宛先サーバと関係している固定端末ＶＬＡＮ２３０に向けてルート設定されるようにできて、それからそのＶＬＡＮをまたいでそのサーバに向けてスイッチされる。ファイヤウォール２８０の内部側でのネットワーク２３０が安全であると仮定されているので、一度パケットがファイヤウォールの内側を通ったときにはＩＰＳｅｃを使用する必要はない。もし移動端末２６５が、外部網２０５に接続されているサーバに、あるいはＶＬＡＮ２３５に接続された別の移動デバイスに接続することを試みるとすると、この接続は正常のＩＰルート設定用経路を用いて行なわれることになる。暗号化していないデータパケットを送るか、ＩＰＳｅｃトンネルモードかＩＰＳｅｃトランスポートモード安全性かのいずれかを確立するか（あるいは代りの安全性メカニズムを確立するか）どうかといった判断は、ユーザと移動端末２６１，２６３についての何らかのローカルポリシィに依存することになる。データがファイヤウォール２８０を（外側から内側へ向って）通らない場合には、ＩＰＳｅｃトンネルにとっては外部ルータ２７０との間の往来を形成することが可能で、ファイヤウォールからの安全性オーバーヘッド（overhead）を取除くことができる。
【００２４】
さらに別な代りのものでは、移動端末２６１，２６３が安全な内部網２００にのみアクセスできることが望まれていて、いずれかの公衆外部網２０５へのアクセスはないとすると、無線ＶＬＡＮ２３５は直接にファイヤウォール２８０に接続されなければならない。外部ルータ２７０は、もし提供されるとすると、ルータ２４０を通って、固定ＬＡＮに接続された端末によってのみアクセス可能となる。
【００２５】
ファイヤウォール２８０は専用のＶＰＮ終端ユニット、ルータもしくは他のデバイスであってＩＰＳｅｃトンネルモード能力を提供できるものによって置換されることができることは十分に認識されなければならない。しかしながら、もしファイヤウォール２８０が使用されるとすると、それが“インターネット硬化された（hardened）”となって、第三者からの攻撃に対して堅牢なものとなり、すべてのイベントについて積極的なログを提供し、ファイヤウォールを最良の“単一ボックス”解決に作るようにする。ファイヤウォールなしに、ＶＰＮゲートウェイは、外部網に向けてのインターフェース上でのファイヤウォールによって防御されなければならず、また追加のファイヤウォールか監視用デバイスをゲートウェイの内部側に必要としてよく、これによって網の使用とトラヒックのフローを監視するようにする。
【００２６】
加えて、この発明によるネットワークに対して“安全でない（insecure）”固定網アクセスポイント２５２，２５３を提供することも可能である。これらのアクセスポイントは別個のＶＬＡＮに隔離されることになり、完全なアクセス権利を有していない人物（例えば固定ポイント２５２が設置されている建物への訪問者）が、公衆ドメイン網２０５にアクセスしたり、安全な接続（例えばＩＰＳｅｃトンネルを用いて）その者自身の私設もしくは企業体網に対して戻すように確立することができるようにする。
【００２７】
ある端末が固定ポート上でもしくは無線アクセスポイント２１０，２１１，２１２，２１３を経てのいずれかで網に接続されるときには、他のデバイスと通信するために有効な網アドレスを必要とする。現在のインターネットワーキング規格（すなわちＩＰｖ４網）を用いる標準網の場合には、ＩＰアドレスは手操作で構成されるか、あるいはＤＨＣＰ（ダイナミックホストコントロールプロトコル）を用いて自動的に提供される。次世代ＩＰｖ６網は、私設に対抗するものとして、調べた（scoped）アドレス範囲を持つように計画されていて、さらにまたアドレス自動構成能力を含んでいる。無線ＶＬＡＮについては、ＤＨＣＰの使用は明白な有利な点を有し、その理由はそこで使用されるホストデバイスの種類がイントラネットから離れて使用されることにもなりそうであり、例えば作業場、家庭もしくは海外で使用されるラップトップであることになりそうであり、したがって網アドレスの自動構成が好ましいとされることによる。同じように、訪問中の個人にとっての公衆ドメイン網への開かれたアクセスのために専用とされたイントラネット上のポート２５０は自動アドレス割当てを必要としている。
【００２８】
ファイヤウォール２８０（もしくはＶＰＮゲートウェイ）は、故障の単一ポイントであり、また潜在的な帯域幅ボトルネックでもあり、したがってゲートウェイ冗長度を含めることによって網設計のスケールを決められるという好都合さがある。無線ＬＡＮにとっては、スケーラビリティはデータリンクレイヤブロードキャストカバー範囲によって制限される。二〜三百のユーザを越えるシステムのスケーリングは別のＶＬＡＮを加えることを必要とし、この加入は類似していない網アドレス空間を備えたサブネットをまたいでローミングするためのもともとの問題をもたらしている。これに対する一つの解決策は、ＷＬＡＮアクセスポイント内に８０２．１ｑＶＬＡＮトランキング能力を潜在的に含めることによって提示される。大きなサイトについては、いくつかのＶＬＡＮが各アクセスポイントで提示されることができるので、ＶＬＡＮ当りのユーザ数を制限している。このことは、現在の設計が基本的な安全性を確保していない８０２．１１ｂの適合性を越えてアクセスポイントを置くという第一の限界となっている。大きなサイトではある種の共用領域、例えばサイトコンファレンススイート（site conference suite）、をこの設備と一緒に用意するだけで全く適切なものとすることができることが予見される。これはユーザグループが指定された共用領域と、彼等自身の事務所空間に限定されることになる。
【００２９】
いずれもの網にとって、トラヒック経路を最適化することは重要である。このことは本発明による網にとってとくに言えることであり、ＩＰＳｅｃの使用が著しい負担をクライアント端末とファイヤウォールとの両方に課することが理由となっている。示して来た網構成では、内部ＬＡＮ２３０に向けて行先が定められたトラヒックだけがＩＰＳｅｃを用いて安全なものとされながら、外部網２０５に向けて行先が定められたトラヒックは安全な内部環境の外側に留まっている。
【００３０】
ネットワーク設計が主な利点をもっているのは、ＷＬＡＮ環境が既存の内部網基盤構造（スイッチ、ルータなど）の上で展開できるという点でのことである。これが必要とされるハードウェアという項目について所有権のコストを低減するとともに、管理と運用支援のためのコストの低減もしていることになる。ＷＬＡＮへのコネクティビティもまたレイヤ２交換網の範囲によってのみ限界が定められている。この網の一番基本的な特徴は、共通の基盤構造はデータリンクレイヤ（レイヤ２）までに限って機能しなければならない。レイヤ２デバイスはこれまでのネットワークレイヤデバイスよりも大きなスループットを提供して、地理的に分散された作業群（workgroups）がより高いＩＳＯレイヤに向けて一つの単一ドメインとして現れることができる。この網設計により、網のコアはデータリンクレイヤ（レイヤ２）で、ネットワークレイヤ（レイヤ３）とともに、エッジに置かれたデバイス上で効果的に動作して、データリンクレイヤ環境間で相互接続を提供するようにする。ルータが異なるＶＬＡＮ間でコネクティビティを提供するために必要とされる。これが、専用のルータポートを（例えば、イーサーネット、高速イーサーネットなど）を関連のＶＬＡＮについて構成されたスイッチポートに向けて接続することと、必要とされるより高いレイヤプロトコルとを構成することによって行なわれる。これはルータについて特別な依存性を与えないが、各ＶＬＡＮがそれ自体のポートを必要とするので、ＶＬＡＮの大きな数を必要とするときにはこの方法はよくスケール合せ（scale）を行わない。代ってＩＥＥＥ８０２．１ｑ規格を支持する専用ルータポートがスイッチポートに接続できて、トランクとして構成できる。この構成で仮想インターフェースが各ＶＬＡＮについて創り出すことができて、これがハードウェアコストを低減する。この方法はルータがまたＩＥＥＥ８０２．１ｑを支持することを必要とする。
【図面の簡単な説明】
【００３１】
【図１】既に説明されたように、既知のハイブリッドの固定−モバイル通信網の模式図。
【図２】本発明によるハイブリッドの固定−モバイル通信網の模式図。

Claims (10)

1. 異なる安全性クラスを有するが同一の物理的基盤構成上を搬送されるユーザにより生成された網トラヒックの隔離のために構成された通信網であって；
   物理的基盤構造を共用している複数の構成成分である仮想網についての接続手段であって、使用時には各構成成分である仮想網がそれぞれの安全クラスを有している網トラヒックを搬送している１又はそれ以上の端末に接続されるように構成された接続手段と；
   低い安全性のユーザを支持している第一の仮想網上でのトラヒックを暗号化するための暗号化手段と；
   構成成分である仮想網を相互に接続するゲートウェイであって、低い方の安全性クラスと関係する第一の仮想網から高い方の安全性クラスと関係する第二の仮想網に向けて通過する網トラヒックを識別するための手段と、正しく暗号化されている第一の仮想網からの網トラヒックだけが高い安全性のユーザを支持している該第二の仮想網上を搬送されるようにできることとするためのアクセス手段を有するゲートウェイと、を備えている網。
2. 請求項１記載の通信網において、該第一の仮想網は無線網である。
3. 請求項１記載の通信網において、低い方の安全性クラスを有する網トラヒックはインターネット・セキュリティ・プロトコルを用いて暗号化される。
4. 請求項１ないし請求項３のいずれか１項記載の通信網において、ゲートウェイはファイヤウォールシステムを含んでいる。
5. 請求項１ないし請求項４のいずれか１項記載の通信網において、第一の仮想網から第二の仮想網内の宛先以外の宛先に向けてルート設定された呼が第二の仮想網を介してルート設定されない通信網。
6. 共通の物理的インターフェースの端末間でのデータトラヒックを処理する方法であって、該端末は複数の異なる安全性クラスに対して割当てられて、また低い方の安全性クラスに割当てられた端末からのトラヒックが高い方の安全性クラスに割当てられた端末に向けて搬送されるときに暗号化される方法。
7. 請求項６記載の方法において、ゲートウェイがファイヤウォールシステムを含み、該ファイヤウォールは低い安全性の端末からのトラヒックが前記暗号化されているときに限り高い安全性の端末に到達することができる方法。
8. 異なる安全性のレベルを有し、同一の物理的網基盤構造を用いる網端末の隔離のための方法であって、低い安全性のユーザと高い方の安全性の端末が同一の物理的網上で搬送される異なる仮想網に接続されていて、ファイヤウォール能力を備えたゲートウェイが仮想網間でアクセスするために提供されており、低い安全性の端末を支持している仮想網上のトラヒックが暗号化される方法。
9. 請求項８記載の方法において、低い安全性の端末を支持している仮想網からの呼が、高い安全性端末を支持している仮想網内の宛先以外の宛先に向けてルート設定され、高い安全性端末を支持している仮想網を通ってルート設定されない方法。
10. 請求項６ないし請求項９のいずれか１項記載の方法において、低い方の安全性の端末は無線端末である。

Images