JP2007518356A - 公衆アクセス・ポイント - Google Patents

Abstract

【課題】 脆弱性を導くことなく、あるいは局安全性を妥協化することなく、局によって単一の物理的なBSSの共有をサポートすることができる無線ＬＡＮに対する安全性モデルを提供すること。
【解決手段】
本発明は、IEEE標準802.11要素を用いてパーソナルVLANブリッジをインスタンス生成する。その結果は、IEEE標準802.11アーキテクチャよりも公衆ワイヤーレス・データ・ネットワークを実行するためにより適している公衆アクセス・ポイントと呼ばれるブリッジである。本発明は、一緒に公衆アクセス・ポイントを接続するブリッジの順方向テーブルを更新するためのロケーション・アップデート・プロトコルを提供する。本発明は、更に微細なブリッジングと呼ばれる、より制御されたブリッジングを提供するための方法を提供する。
【選択図】なし

Description

技術フィールド
本発明は、電子ネットワークへのワイヤレス・公衆アクセスに関する。特に本発明は、電子ネットワークに対する物理的なアクセス・ポイント内から仮想ベーシックサービスセットの作成ができるようにするためのアーキテクチャに関する。

公衆WiFiホットスポットは、いくつかの例外はあるが、従来のIEEE 標準802.11準拠のアクセス・ポイントを使用して配備される。しかしながら、IEEE標準802.11のアーキテクチャおよび安全性モデルは、公衆用には不適切である。アクセス・ポイント（AP）に接続された局は、802.11のベーシック・サービス・セット（BSS）または無線LANを共有する。BSSの全てのメンバが、信頼に値しない限り、BSSにおけるどの局も、他のメンバによって開始される攻撃に対し安全でない。この種の攻撃には、パスワードおよびクレジットカード情報のような、サービスを得るために加入者によって提供されるベーシックサービスおよびいかなる秘密情報資料も盗むことが、含まれる。他の攻撃には、サービスのネットワークにおける完全性および品質の妨害が含まれる。公衆BSS、つまり、公衆APと接続された局から構成されるものの全てのメンバが、信頼に値すると考えることは、現実的ではない。従って、局は、公衆BSSにおいて脆弱である。

公衆BSSを共有することは、他の脅威を与えることにもなる。BSSのメンバは、ウォームまたはトロイの木馬によって他のメンバ局を汚染させることが出来る。ポートに基づくDCOM RPC攻撃、MSブラスターおよびWelchiaウォームは、その好例である。この脅威は、電子的な汚水だめである公衆BSSによって、より深刻になる。局は、これらの脅威に対してどのように対処できるだろうか？BSSにおける局は、私的ファイアウォールのような防衛によって自分自身の身を守るかもしれない。これに対し、公衆WiFiプロバイダは、加入者を互いから保護する安全性モデルを配備するかもしれない。1つのアプローチは、局間コミュニケーションを禁止することである。このアプローチは、しかしながら、支持できない解決手段である。互いに信頼する局は、公衆設定においてさえも、それら自身の間で通信することは、許可されるべきである。例えば、局は、コンベンションセンターで開かれるミーティングにおける同一のローカルLAN上のファイルサーバにアクセスすることが可能でなければならない。例えば、これは、標準の会議において通常実行されることである。仮にこの種の共有が、許されるならば、侵入者が、IEEE 標準802.11の下で、BSS全体を作動不能にすることは容易になる。このことは、実際、2001年のユセニックス・安全性会議および2001年のラスベガスのDEFCON会議で発生した。如何なるワイヤレスLANに対する安全性モデルも、脆弱性を導くことなしにこの種の共有をサポートすることは出来ない。

脆弱性を導くことなく、あるいはBSSを用いた局の間で安全性を妥協させることなく、単一の物理的BSSの共有をサポートすることができる無線ＬＡＮに対する安全性モデルを供給することは、有利であろう。

本発明は、脆弱性を導くことなく、あるいは局安全性を妥協化することなく、局によって単一の物理的なBSSの共有をサポートすることができる無線ＬＡＮに対する安全性モデルを提供する。このように、新しい種類のアクセス・ポイントが、設けられている。そして、それは、本明細書において公衆アクセス・ポイント（PAP）と称される。PAPは、IEEE標準802.11によって規定される異なる安全性アーキテクチャを有する。PAPアーキテクチャは、単一の物理的なAP内からベーシック・サービスセットの作成を可能にする。仮想サービスセットには任意のナンバーを、作成することができる、そして、いかなる数の端末も、仮想BSSに帰属させることができる。PAPは、端末には、各仮想BSSに対し1つの、多重の物理的802.11のアクセス・ポイントと見える。従って、PAPは、いかなる802.11端末とも完全に相互運用可能である。

PAPの使用の例として、コンベンションセンターを考えよう。異なる会議が、802.11規格プロジェクタを使用してもよい。PAPは、別々のLANセグメントを各会議に供給して、各会議に対し分離されたリンク・プライバシーおよび完全性を可能にする。IEEE標準802.11のみを代わりに使用すると、会議のプロジェクタおよびそれと投影することができる全ての局は、プライベート・アクセス・ポイントまたは特別なWLANを使用し、そしてWLANメンバシップ、認証およびキー・マテリアルを管理しなければならない。さもないと、誰でも、プロジェクタとプロジェクトすることができ、また更に悪いことには、それが示される前に、有効なプロジェクタのトラフィックを妨害することが可能となり、その結果、部外者が、それをモニタしまたは破壊することが可能になってしまう。

従来技術のアプローチに関連する安全性管理の負担が大きすぎることに加えて、会議のプランナーは、開催地ごとに彼ら自身のものをインストールしそして設定するよりもむしろローカルアクセス・ポイントを利用することを好む。PAPは、全ての安全性を管理することができる。それによって、共用プロジェクタおよびあらゆるローカルファイルサーバも含む、各会議における全ての端末は、その会議に対する仮想802.11アクセス・ポイントと効率的に結合し、そして全てのベーシックアクセス・ポイントが、同じ物理的PAPから生じる。

本発明は、公衆アクセス・ポイントを共に接続するブリッジの転送テーブルを更新するためのロケーション・アップデート・プロトコルも提供する。

本発明は、更に、微細ブリッジングと呼ばれる、より制御されたブリッジングに対する方法も提供する。

米国特許出願No. 10/057,566には、端末が、既存のVLANがタグ付けされているおよびタグ付けされていないメンバセットを複製することによって、既存のVLANのクローンを作るブリッジされた仮想LAN（VLAN）を作成することができるプロトコルが、記載されている。更に、この新しいVLANは、その固有の安全性結合のために固有化されている。この結合は、VLANに所属するパケットをプライベートな状態にし、かつVLANのメンバシップを、キー化されたMACによって暗号によって解明させることを可能にする暗号のキー・マテリアルを提供する。この新しいVLANは、その製作者が所有する。この所有者は、どの局が参加でき、そしてどの局がVLANを発見できるか、およびVLANの存続期間をコントロールすることができる。従って、VLANは、個人的ブリッジされた仮想LAN（PVLAN）と呼ばれる。

本発明の一実施例は、IEEE標準802.11-1999の標準要素しか使用しないPVLANの改良型を提供する。（第11部参照：ワイヤレスLAN媒体アクセスコントロール（MAC）および物理的層（PHY）仕様書、ISO/IEC 8802-11：1999（E）ANSI/IEEE標準 802.11、1999年版、および第11部参照：ワイヤレスLAN媒体アクセスコントロール（MAC）および物理的層（PHY）仕様書、媒体アクセスコントロール（MAC）安全性向上、IEEE標準802.11i/D7.0、ISO/IEC 8802-11,1999（E) に対する起草案補正書, ANSI/IEEE標準. 802.11、1999年版。）
IEEE標準 802.11プロトコル・エンティティ1のブロック図である図１と、それぞれのBSS（BSS-A、BSS-B）が、それぞれのアクセス・ポイント（AP-A、AP-B）に接続された局（A1/A2,B1/B2）を有するIEEE標準802.11構成インフラ・ストラクチャのブロック図である図２を参照されたい。アクセス・ポイントとして働かないいかなる802.11規格準拠の端末の動作の修正も、本発明においては、不必要である。改良点は、仮想802.11のBSSに対してPVLANのインスタンスを生成し、そしてアクセス・ポイントにしか影響を及ぼさない。

図3は、本発明による公衆アクセス・ポイント・アーキテクチャのブロック図である。仮想802.11 BSS、つまりBSS-1またはBSS-2は、一連の局を有し、それぞれがハードウェア（MAC）アドレス（図1を参照せよ）を有する。それは固有の安全性結合を共有し、グループ安全性結合と呼ばれている。安全性結合は、暗号化キーと、認証コード・キーを有している。

仮想BSSにおいて局の内の1つのみが、公衆アクセス・ポイント31（PAP）である。それは、802.11のワイヤレス媒体（WM）32と802.11分配システム媒体（DSM）33を接続する。

固有のユニキャスト安全性の結合が、BSSにおけるあらゆる局に対して存在する。それは、仮想BSSの局とPAPの局の間で共有されている。

各BSS、例えば、BSS-1またはBSS-2は、それ自身の識別子、つまりBSSIDを有する。それは、そのBSSに帰属しているPAPの仮想MACアドレスである。PAPは、その仮想MACアドレスのうちの1つに向けられているWMからいかなるフレームも受信して、そしてその仮想MACアドレスのうちの1つをフレームのソースMACアドレスとして使用しているWMにフレームを転送する。

一連の仮想ベーシック・サービスセットは、単一のPAPにおいて、共用TSF（タイミング・共時化関数）、DCF（分散調整関数）およびオプションとしてPCF（ポイント調整関数）によってサポートされている。各PAPにおいて、単一のNAV（ネットワーク配分ベクトル）およびPC（ポイント調整部）が、存在する。802.11の仮想キャリア検知、媒体予約メカニズムが、同じチャネルのオーバーラップを使用する多重ベーシックサービスセットと協働するように設計されているため、この種の共有が、可能である。この種のオーバーラップは、単一チャネルPAPでサポートされている仮想ベーシック・サービスセットの間で発生させることができる。仮想サービスセットは、1つのチャネルを使用することができるので、PAPにおいてオーバーラップさせることができる。

PAPは、一つ以上のBSSに帰属することができる。図1上のBSS-1, BSS-2を参照されたい。PAPでないいかなる局も、多くても1つのBSSに帰属することができる。

仮想802.11のBSSは、ブリッジされた仮想LANによってそれらの公衆アクセス・ポイントの接続により他のBSSに接続させることができる。各仮想BSSのPAPは、VLAN-認識ブリッジのトランクされた、またはタグ付けされていないポートを介して、分配システム（DS）に接続される。DSに転送されるフレームは、DSMには知られているVLANタグを担持することができる。PAPは、VLANタグを仮想BSSIDにマップするDSM VLANマッピングを維持してよい。

現在、2種類のBSS：クラス-1およびクラス-3仮想BSSが、存在する。PAPは、正確には1つのクラス-1仮想BSSおよび一つ以上の多重クラス-3仮想ベーシック・サービスセットをサポートする。PAPによって管理される時、クラス-1仮想BSSは、局が802.11の状態1または2にある間、占めることが許される唯一の仮想BSSである。状態3にある時、局は、クラス-3仮想BSSに接続することが許される。クラス-3仮想BSSは、例えば、局を認証するために使用される、オープン・システムまたは共有キーのような認証によって決定させることができる。

クラス-1仮想BSSIDは、この種のフィールドを有するあらゆるクラス1およびクラス2フレームのBSSIDフィールドである。それは、適切には、クラス１およびクラス２フレームに対する、受信機または送信機アドレス・フィールドでもある。

あらゆる仮想BSSは、タイムスタンプ、ビーコン間隔、能力情報プライバシー（保護）ビット、サービスセット識別子（SSID）、安全性能力要素、およびトラフィック・マップ（TIM）要素フィールドを除いて、同一のビーコン・フレーム・コンテンツを有する。

クラス-3仮想BSSが、そのBSSにおける端末に対し、PS（電源セーブ）モードをサポートしていなければ、PAPは、クラス-3仮想BSSに対してビーコンを送る必要はない。もしそれが、クラス-3仮想BSSにビーコンを送っていれば、あらゆるビーコンのSSID要素が、発信SSIDを特定する。これらのステップは、いかなるクラス-3仮想BSSも、ビーコンポリシーによって特定されることを防止する。

クラス-1仮想BSSビーコンしか、非ブロードキャストSSIDフィールドを有するSSID要素を有しない。局は、クラス-1仮想BSSとしか結合できない。この局は、結合または再結合リクエスト・フレームのSSID要素における非ブロードキャストSSIDを使用する。

米国特許出願No. 10/057566は、PVLAN参加および発見ステップを特定する。仮想BSSとして表されるPVLANにより、これらのステップは、以下のように例示される。

あらゆる局は、初期設定では、PAPでクラス-1仮想BSSのメンバである。PAPは、クラス-1仮想BSSにおける局のユーザまたは局自体の何れかを認証することができる。もし成功したら、局は、そのPAPにおいて802.11状態2に入る。この時点で、PAPおよび局は、クラス-1仮想BSSにいる間、クラス1とクラス2のフレームを交換してもよい。

クラス1フレームは、暗号によって保護されていない。認証が、成功した後、局とＰＡＰが、ユニキャスト安全性結合を共有すれば、クラス2フレームは、暗号的に保護させることができる。PAPおよび局は、認証の後、グループ安全性結合を共有してよい。グループ安全性結合は、それが、PAPを有する802.11結合を完了すれば、局が、帰属するそのクラス-3仮想BSSのためにある。

局およびPAPが、クラス3フレームを交換することができる前に、局は、
1）状態2からクラス-1仮想BSSとの結合を要請し、そして
2）クラス-3仮想BSSに切り替えなければならない。

PAPは、そのソースアドレス（アドレス2フィールド）またはBSSID（アドレス3フィールド）が、その仮想BSSに対するクラス-3仮想BSSである結合応答MMPDUを有する局の結合要請に応答することによって、局をクラス-3仮想BSSに切り替える。結合応答の能力情報フィールドは、そのプライバシー（保護）ビットを１に設定してもよい。

クラス-3仮想BSSは、３つの方法のうちの1つの方法で決定される：
1）DSにおける認証サーバが、ユーザに対しDSM VLANを特定し、そして、PAPが、そのDSM VLANマッピングを使用して、それをクラス-3仮想BSSIDにマップする。
2）DSにおける認証サーバが、ユーザに対してクラス-3仮想BSSを特定する、または、
3）PAPが、ユーザに対して新しいクラス-3仮想BSSを作成する。PAPは、認証サーバに新しい仮想BSSを知らせ、そして他の局が、新しいBSSに参加することを可能にする規則をそれに提供することができる。

発見
クラス-1仮想BSSは、802.11ビーコンまたは、プローブ応答マネジメント・フレームにより発見される。BSSIDフィールド（アドレス3フィールド）およびソース・アドレス・フィールド（アドレス2フィールド）が、クラス１仮想BSSIDに対してそれぞれセットされる。ビーコンのTIM要素は、クラス-1仮想BSSに適用される。クラス-1仮想BSSのみが、ビーコンフレームを介して広告される。

データフレーム（MPDU）分配
PAPは、MACプロトコル・データ・ユニット（MPDU）ブリッジプロトコルを実施する。DSMかWMから受信されるMPDUに対してプロトコルは、以下の2つのケースによって定義される：
1. DSMから受信されたMPDU。2つのサブケースが、ある。（注：2つのサブケースは、PAPのローカルLLCに対する受信されたMPDUの配信を扱う、なぜならあらゆるPAPの局が、少なくとも一つのBSSに帰属するからである。）：
a. 受信されたMPDUは、VLANタグまたは無効なVLANタグを有しない。仮に目
的地アドレスが、BSSに帰属する局のアドレスであり、そして局が、PAPに結合
するのであるならば、DSMからMPDUは、BSSへリレーされ、または、目的地
アドレスが、グループアドレスであるならば、BSSは、グループに属する局を有
する、そして局は、PAPに結合している。全ての局は、発信グループに属する。
b. 受信されたMPDUは、非無効VLANタグを有する。MPDUがリレーされるBSS
は、非無効VLANタグが、PAPのDSM VLANマッピングの下でマップされる
BSSIDによって特定される。もしマッピングが、所与のタグに対して未定義であ
るならば、MPDUは、リレーされない。
受信されたMPDUがリレーされるいかなるBSSも、BSSにリレーされる802.11
のMPDUのソースアドレス（アドレス2フィールド）を形成するBSSIDを有す
る。
2. Wm.から受信されたMPDU。もし目的地アドレス（MPDUのアドレス3フィールド）が、特定されたBSSに帰属する局のアドレスであり、そして、局が、PAPに結合するならば、または、もし目的地アドレスが、グループアドレスであるならば、受信された802.11のMPDUは、MPDUのアドレス 1フィールドによって特定されるBSSにリレーされる。そうでなければ、フレームは、いかなるBSSにもリレーされない。受信された802.11のMPDUのアドレス1フィールドは、アドレス1フィールドによって特定されるBSSにリレーされる802.11のMPDUのソースアドレス（アドレス2フィールド）である。
目的地アドレス（MPDUのアドレス3フィールド）が、PAPと結合していない局のアドレスであるならば、または、目的地アドレスが、グループアドレスであるならば、受信されたMPDUは、DSMにもリレーされる。もしDSが、VLANを認識しているならばそしてそうでなければタグを有さなければ、DSMにリレーされるMPDUは、VLANタグを有している。VLANタグは、PAPのDSM VLANマップのもとでの受信されたMPDUのアドレス 1フィールドの前イメージである。

暗号および暗号解読プロセス
暗号および暗号解読は、802.11の部分型結合要請／規格、再結合要請/規格、非分離および非認証化のデータ・フレームおよびマネジメント・フレームを適用する。

WMに対して802.11データあるいはマネジメント・フレームを発信する前にPAPによって使用される暗号化プロセスは、2つの主要なステップを含む：
● フレームに対して安全性結合を特定すること、
そしていくつかの復号および認証コード・プロトコルに従って発信に対する拡張されたフレームを構築するために接続を使用すること。
異なる復号および認証コード・プロトコルが、ベーシックサービスセット間の発信およびマルチキャスト通信のために使用することができ、そして、異なる復号および認証コード・プロトコルが、単一のBSSにおける局の間の指示された（ユニキャスト）トラフィックのために使用することができる。

もし、フレーム目的地アドレス（アドレス1フィールド）が、局のアドレスである場合、その局およびPAPの間で共有されるユニキャスト安全性結合は、拡張において使用される。もしこのフレームが、データフレームであり、そして、その目的地アドレスが、グループ・アドレスであるならば、MPDUブリッジ・プロトコルは、フレームに対する目的地BSSを特定する。特定されたBSSに対するグループ安全性結合が、拡張に使用されている。

非PAP局は、タイプデータまたは、マネジメントの802.11のMPDUをそのBSSにおけるPAPとそれが、共有するユニキャスト安全性結合を使用しているDSに対して発信する。

WMから802.11のデータまたは、マネジメント・フレームを受信する時に、PAPは、MPDUのソースアドレス（アドレス2フィールド）によって特定される局に対するユニキャスト安全性結合を使用しているフレームの完全性を解読して、そして特定することを試みる。

PAPからタイプデータまたはマネジメントの802.11のMPDUを受信する時に、もしフレームの目的地アドレス（アドレス1フィールド）が、局のアドレスであると、それがPAPと共有するユニキャスト安全性結合を使用して、かつ、もしフレームの目的地アドレスが、グループ・アドレスであれば、そのクラス３BSSのグループ安全性結合を使用して、非-PAP局は、フレームの完全性を解読し、そして検証することを試みる。

場所更新プロトコル
本発明は、ブリッジの順方向表を更新するための場所更新プロトコル、又は、他の相互接続媒体も備え、公衆アクセス・ポイントを一緒に接続する。

所与の複数の公衆アクセス・ポイントは、互いにそれらの一つと接続し、そして新しいPAPと再接続している接続されたLANと局のスパンニング・ツリーにおける異なるブリッジに接続されており、新しいPAPは、指示されたブリッジ・プロトコル・データ・ユニット（BPDU）（再配置PDUと呼ばれる）を局が以前接続されたPAPに対して発信する。BPDUの目的地アドレスは、再接続リクエスト・フレームの現在のAPアドレスであり、それは、クラス-3仮想BSSIDである。ソースアドレスは、局のハードウェア・アドレスである。

特定ポートにおいて再配置MPDUを受信すると、ブリッジは、受信ポートをMPDUのソースアドレスに接続するエントリを有するその順方向テーブルを更新する。

MPDUが、そのポートに到着しない限り、または受信ブリッジが、スバニング・ツリーのルートでない限り、受信ブリッジは、その指定されたルート・ポートに再配置MPDUを転送する。もしそれが、ブリッジの指定されたルート・ポートにおいて、または、ルート・ブリッジによって受信されると、それは、ブリッジの学習された順方向表に従って転送され、それは、受信ポートを除く全てのポートに対して大量のMPDUを送信することを含む。

微細なブリッジング
上で議論されている本発明の一つの実施例は、BSSに対してPVLANを精製する。MPDUブリッジ・プロトコルの下で、BSSにおけるいかなる局も、指示されたまたはグループアドレス化されたフレームをそのBSSにおける他のいかなる他局にも発信することができる。これは、望ましくないであろう。コンフェランス・センターにおける会議は、例えば、それ自身のBSSを有していてもよいが、全ての出席者が、各々を信頼しているわけではない。同じBSSを共有することによって、ある出席者は、ウォームまたはウイルスを飛ばすことができる。各出席者に対して単一のBSSを割り当てることによってこれらの攻撃を阻止しようとすることは、出席者が、サーバを共有することができないことになる。理想的には、サーバは、全ての会議出席者によって共有されているが、どの参加者も、他の参加者にアクセスする、つまりフレームを送ることはできないようにすべきである。上記の公衆アクセス・ポイントは、アクセスコントロールのこのレベルを提供することができない。微細なブリッジングをサポートしているAPは、それを提供することができる。

IEEE 標準 802.1.Qのブロック図である図７も参照されたい。802.1Qブリッジは、LANのようなインフラ・ストラクチャ・システムに対して一組のエッジホストを接続している。エッジホストから到着するタグがないフレームは、ポートベースのVLANアサインメント（PVID A）によってVLAN Aに割り当てられる、そして、インフラ・ストラクチャ・システムから到着するタグがないフレームは、VLAN B（PVID B）に割り当てられる。Bに属しているフレームのみが、エッジホストに出力されることを許容される一方、記述された出力ルールが、AまたはBに帰属しているフレームがインフラ・ストラクチャに出力されることが、許容される。このような方法で、エッジホストは、直接、互いに通信することが阻止される。

微細なブリッジングは、BSSを有するブロードキャストまたはマルチキャストとドメインの特定を分離する。

微細なブリッジングの下で、APのブリッジングの挙動は、有向グラフとして表されるポリシーによって決定される。グラフのノードは、局であり、そしてもし局Aが、局Bにアクセスすることが可能である時のみ、局Aから局Bへのエッジが存在する。言い換えれば、局Bが、局Aの有向またはグループフレームを受信することが可能でなければならない。

所与のポリシーに対して、ノードに対すブロードキャスト・ドメインは、それ自体であり、そしてそれがアクセスしなければならない全てのノードである。ポリシーのブロードキャスト・ドメインセットは、そのノードに対する一連のブロードキャスト・ドメインである。

ポリシーの実施において、ブロードキャスト・ドメインにつきグループ安全性結合がある。更に、各局（ノード）は、ポリシーにおけるそれ自体に対するブロードキャスト・ドメインの、そして、それがメンバであるポリシーのあらゆるその他のブロードキャスト・ドメインのグループ安全性結合を所有する。前接続が、グループフレームを送信するために、そして後者の接続がグループフレームを受信するために、局に使用させてもよい。

その一つがAPである3局BSSの中におけるアクセス可能性は、図2に示されるポリシーによって捕捉される。ポリシーにおける各ノードは、そのブロードキャスト・ドメインとして｛A、B、AP｝を有する。このように、ポリシーが、BSSを反映すると想定すれば、予期することであるポリシーに対しては1つのブロードキャスト・ドメインしかない。各局は、ドメインに対するグループ安全性結合を知っていて、かつその結合のもとでグループフレームを送信そして受信することができる。

図3は、局AおよびBが、サーバ局SおよびDを共有するが、AおよびBは、各々にアクセスすることが許されない4つの局の間のポリシーを捕捉する。

このポリシーは、ブロードキャスト・ドメインB1：｛A,S,D｝,B2：｛B,S,D｝およびB3：｛D、A、S、B｝を有している。局Aは、グループフレームを送りかつSからそれらを受信するために、B１に対するグループ安全性結合を知っていて、かつ、SおよびDによって送られるグループフレームを受信するために、Ｂ３に対するグループ安全性結合を知っている。局Ｄは、グループフレームを送信してSからそれらを受信するために、B3に対するグループ・安全性結合を知っていて、かつ、AおよびＢそれぞれからグループフレームを受信するために、B1およびB2両方に対するグループ安全性結合がを知っている。

図3におけるポリシーが、例えば、BからAへのエッジが、ポリシーに対して付加されるように修正される場合には、図４に図示されるように、ドメインB2は、除去され、B1とB3だけが、残るであろう。

もしAからBへのエッジが、図4におけるポリシーに付加されると、ドメインB1,B2およびB3は、このポリシーに対し、単一ドメインB3に縮小するであろう。

他のポリシーバリエーションの提供は、当業者の能力の範囲内にある。

本発明は、好ましい実施例に関して本願明細書において記載されているが、当業者は、他の応用を、本発明の趣旨および範囲から逸脱することなく、本願明細書において記載されるそれらに置換させてもよいとことを直ちに理解するであろう。したがって、本発明は、添付の特許請求の範囲によってのみ制限されるべきである。

IEEE 標準802.11エンティティの概略図である. IEEE 標準802.11の構成インフラ・ストラクチャのブロック図である。 本発明による公衆アクセス・ポイント・アーキテクチャの概略図である。 3つの局のBSSの範囲内のアクセス可能性に対するポリシーのブロック図であり、そしてその一つは、本発明によるAPである。 局AおよびBが、サーバ局SおよびDを共有するが、AおよびBは、本発明によれば各々にアクセスすることが、許されない4つの局の間のポリシーのブロック図である。 図3におけるポリシーのブロック図であり修正されている、その結果BからAへのエッジが、本発明によればポリシーに追加される。 ポートに基づいたVLAN譲渡、出現フィルタリングおよび共用VLAN学習（SVL）を介してインフラ・ストラクチャ・システムに対して接続されているエッジホスト間の直接通信を除去する、IEEE標準802.1Qブリッジのブロック図である。

符号の説明

３１ パブリック・アクセス・ポイント
３２ 無線媒体
３３ 分配システム媒体
３３ 分配システム媒体

Claims (49)

1. 複数の端末と、
   いかなる数の当該端末も、BSSに属することができ、
   当該PAPが、多重フィジカルアクセス・ポイントとして、各BSSに対し1つのAPとして、当該端末に現れ、
   単一のフィジカルアクセス・ポイント（AP）内から複数のベーシックサービス・セット（BSS）を提供するための公衆アクセス・ポイント（PAP）と、
   を備える、ワイヤレスLANに対する安全性装置。
2. 当該PAPが、複数の分離可能なLANセグメントを供給すると共に、当該LANセグメントのそれぞれに対して、分離されたリンクのプライバシーと完全性を提供する請求項１に記載された装置。
3. 全ての前記端末のすべてと、あらゆるローカルファイルサーバと、当該LANに結合する他のデバイスとが、ベーシック・アクセス・ポイントに結合し、全てのベーシック・アクセス・ポイントが、同じフィジカルPAPから生じる請求項１に記載された装置。
4. 複数のPAPと、
   一緒に前記PAPを接続するブリッジの順方向表を更新するためのロケーション・アップデート・プロトコルとを
   備える請求項１に記載された装置。
5. BSSに属する全ての当該端末間のコミュニケーションを制限するための微細ブリッジ化する方法を備える請求項１に記載された装置。
6. 複数の802.11の端末と、
   単一のフィジカルアクセス・ポイント（AP）内から仮想802.11のベーシック・サービス・セット（BSS）にインスタンスが生成されるパーソナル仮想ブリッジされたLAN（PVLAN）を備える、公衆アクセス・ポイント（PAP）と、
   を備えるワイヤレスLANに対する安全性装置。
7. ベーシック802.11ベーシック・サービス・セット（BSS）と、
   各々が、ハードウェア（MAC）アドレスを有する複数の局と、
   グループ安全性結合を共有する、当該仮想BSSにおける全ての前記局と、
   公衆アクセス・ポイント(PAP)を備える当該BSSにおける当該局のうちの1つと、
   を備える安全性・ワイヤレス・ネットワーク。
8. それぞれの局の当該グループ安全性結合が、暗号化キーおよび認証コード・キーを備える請求項7に記載のネットワーク。
9. 当該BSSにおける当該局のうちの正確に1つが、802.11のワイヤレス・メディア（WM）および802.11の分配システム媒体（DSM）にブリッジするための公衆アクセス・ポイントである、請求項7に記載のネットワーク。
10. 当該グループ安全性結合が、さらに、当該BSSのそれぞれの局に対するユニークなユニキャスト安全性結合とを備え、当該安全性結合が、各局と当該仮想BSSの当該PAPとの間で共有されている、請求項7に記載のネットワーク。
11. それぞれの各BSSが、それ自身の識別子（BSSID）を有している複数のBSSを備える、
    請求項7に記載のネットワーク。
12. 当該BSSIDが、当該BSSに対する仮想MACアドレスを備える、請求項11に記載のネットワーク。
13. 当該PAPが、その仮想MACアドレスのうちの1つに対して予定されている802.11の無線媒体（WM）からフレームを受信し、そして、当該PAPが、当該フレームのソースMACアドレスとしてその仮想MACアドレスのうちの1つを使用している当該WMに対してフレームを発信する、請求項12に記載のネットワーク。
14. 単一のPAPにおいて、共有TSF（タイミング・シンクロ二ゼーション関数）、DCF（分散調整関数）および、オプションとして、PCF（ポイント・調整関数）でサポートされている複数の仮想BSSをさらに備える、請求7に記載のネットワーク。
15. それぞれのPAPが、単一のNAV（ネットワーク割振りベクトル）およびPC（ポイント・コーディネーター）をさらに備える、請求項7に記載のネットワーク。
16. PAPが、一つ以上のBSSに帰属することができる、請求項7に記載のネットワーク。
17. PAPでないいかなる局も、多くても1つのBSSに帰属することができる、請求項7に記載のネットワーク。
18. 各BSSのPAPの接続によって仮想BSSを他の仮想BSSにブリッジするための仮想ブリッジされたLAN（VLAN）をさらに備える、請求項７に記載のネットワーク。
19. 各BSSのPAPが、VLAN認識のあるブリッジのうちトランクされた、またはタグがないポートを介して分散システム（DS）に接続されている、請求項18に記載のネットワーク。
20. DSに送信されるフレームが、分配システム媒体（DSM）に対して知られているVLANタグを有する請求項19に記載のネットワーク。
21. 当該PAPが、BSS識別子（BSSID）に対してVLANタグをマップするDSM VLANマッピングを維持する、請求項20のネットワーク
22. 前記BSSが、クラス-1およびクラス-3仮想BSSの何れかをさらに備え、
    PAPが、正確に1つのクラス-1仮想BSSおよび／または一つ以上の複数のクラス-3仮想BSSをサポートし、
    当該PAPによって管理される時、それが802.11における状態1または2である間、クラス1BSSは、局が、占有することを許される唯一のBSSであり、
    状態3において、局は、クラス-3仮想BSSに接続することができ、かつ、
    クラス-3仮想BSSが、当該局を認証するために使用される種類の認証によって決定される、請求項７に記載のネットワーク。
23. クラス-1仮想BSSIDが、そのようなフィールドを有するあらゆるクラス1およびクラス2フレームのBSSIDフィールドである、請求項22に記載のネットワーク。
24. クラス-1仮想BSSIDが、クラス1およびクラス2に対して、状況により、受信または、発信アドレス・フィールドである請求項22に記載のネットワーク。
25. あらゆるBSSが、タイムスタンプ、ビーコンインターヴァル、能力情報プライバシー（保護）ビット、サービスセット識別子（SSID）、安全性能力要素およびトラフィック量表示マップ（TIM）要素フィールドを除いて、同一のビーコン・フレーム内容を有する、請求項７に記載のネットワーク。
26. もしPAPが、そのBSSにおける端末に対するパワー-セーブ（PS）モードをサポートしていないならば、当該PAPが、クラス-3仮想BSSのために信号を送る必要はなく、
    もし当該PAPが、クラス-3 BSSのために信号を送れば、あらゆるビーコン要素におけるSSID要素が、発信SSIDを特定し、
    クラス-3仮想BSSが、信号を送ることによって特定されることが防止される、請求項22に記載のネットワーク。
27. クラス-1仮想BSSビーコンのみが、非ブロードキャストSSIDフィールドを有するSSID要素を有し、局は、クラス-1仮想BSSとしか結合出来ない、 請求項26に記載のネットワーク。
28. あらゆる局が、初期設定によってPAPにおけるクラス-1仮想BSSのメンバであり、
    当該PAPが、当該クラス-1仮想BSSにおいて、当該局のまたは当該局自体のユーザを認証することができ、
    もし成功すれば、当該局は、当該PAPにおいて802.11の状態2に入り、そして
    当該PAPおよび当該局が、当該クラス-1仮想BSSにおいて存在する間、当該局がクラス1とクラス2フレームを当該PAPと交換することができる、請求項22に記載のネットワーク。
29. 当該局と当該PAPが、成功した認証の後、ユニキャスト安全性結合を共有する場合、クラス2フレームが、暗号保護されている、請求項28に記載のネットワーク。
30. 当該PAPおよび当該局が、認証の後グループ安全性結合を共有し、
    もしそれが、当該PAPを有する802.11接続を完了させるならば、当該グループ安全性結合が、当該局が帰属するクラス-3仮想BSSに対して存在する、請求項29に記載のネットワーク。
31. 当該局および当該PAPが、クラス3フレームを交換することができる前に、当該局が、状態2から当該クラス-1仮想BSSを有する結合を要請しなければならず、そして、クラス-3仮想BSSへ切り替えなければならない、請求項30に記載のネットワーク。
32. そのソースアドレス(アドレス2フィールド)またはBSSID(アドレス3フィールド)が、その仮想BSSに対するクラス3仮想BSSIDである、結合要請MMPDUを有する当該局の結合要請に応答することによって、当該PAPが、当該局をクラス3BSSにスィッチする、請求項31に記載のネットワーク。
33. 当該DSにおける認証サーバが、ユーザに対するDSM VLANを特定し、かつ、当該PAPが、それをそのDSM VLANマッピングを使用して、クラス3仮想BSSIDにマップする方法、
    当該DSにおける認証サーバが、当該ユーザに対するクラス-3仮想BSSを特定する方法、または、
    当該PAPが、当該ユーザに対する新しいクラス-3仮想BSSを作成する方法であって、当該PAPが、認証サーバに新しい仮想BSSを知らせることができて、そしてそれに対して他の局が、当該新しいBSSを接続することができる規則を提供する方法、
    のうちの1つによって、当該クラス3仮想BSSIDが決定される、請求項32に記載のネットワーク。
34. BSSIDフィールド（アドレス3フィールド）と、ソースアドレス・フィールド（アドレス2フィールド）が、それぞれクラス-1仮想BSSIDにセットされていて、クラス１仮想BSSが、802.11ビーコンまたは精査応答マネジメントフレームにより発見される、請求項22に記載のネットワーク。
35. 当該PAPが、MACプロトコル・データユニット（MPDU）ブリッジ・プロトコルを実施する請求項２２のネットワークであって、当該DSMまたは当該WMの何れから受信されたMPDUに対して、当該プロトコルが、以下の何れかをアドレスし、
    ＊当該DSMから受信されたMPDUに対しては、
    受信されたMPDUが、VLANタグを有さないまたは無効なVLANタグを有する場合には、
    もし当該MPDU目的地アドレスが、当該BSSに帰属する局のアドレスであり、かつ、当該局が、当該PAPに結合しているのであれば、当該DSMから受信されたMPDUが、仮想BSSにリレーされ、または、
    もし当該MPDU目的地アドレスが、グループアドレスであれば、当該仮想BSSは、当該グループに属する局を有し、かつ、当該局が、当該PAPに結合されており、または、
    受信されたMPDUが、非無効VLANタグを有する場合には、当該MPDUがリレーされる当該BSSが、当該非無効VLANタグが、当該PAPのDSM VLANマッピングの下でマップされている当該BSSIDによって特定されており、そして、
    もし、当該マッピングが、所与のタグに対して未定義であるならば、当該MPDUが、リレーされず、ここで、受信されたMPDUが、リレーされるいかなるBSSも、そのBSSにリレーされる802.11のMPDUのソースアドレス（アドレスアドレス2フィールド）を形成するBSSIDを有し、または
    ＊当該WMから受信されたMPDUに対しては、
    もし当該MPDU目的地アドレス（MPDUのアドレス3フィールド）が、当該特定されたBSSに帰属する局のアドレスであり、かつ当該局が当該PAPに結合すると、受信された802.11が、当該MPDUのアドレス１フィールドによって特定される仮想BSSにリレーされ、または
    もし、当該MPDU目的地アドレスが、グループアドレスであれば、当該フレームは、いかなる仮想BSSにもリレーされず、ここで、
    受信された802.11のMPDUのアドレス 1フィールドが、当該アドレス 1フィールドによって特定される当該仮想BSSにリレーされる802.11MPDUのソースアドレス（アドレス2フィールド）である、
    MACプロトコル・データユニット（MPDU）ブリッジ・プロトコルを実施する、請求項22に記載のネットワーク。
36. 当該目的地アドレス（MPDUのアドレス3フィールド）が、当該PAPと接続していない局のアドレスであるならば、あるいはもし当該目的地アドレスが、グループアドレスであるならば、仮に当該DSが、認識のあるVLANであるならば、そしてそうでなければタグを有していないならば、当該DSMにもリレーされる当該MPDUはVLANタグを有し、そして、当該VLANタグは、当該PAPのDSM VLANマッピングのもとの、当該受信されたMPDUの当該アドレス1の前イメージである、請求項35に記載のネットワーク。
37. 802.11のデータフレームおよび部分型接続リクエスト／応答、再接続リクエスト／規格、分離および非認証化の802.11のデータフレームおよびマネジメントフレームを適用することによって暗号化および解読を実行するための手段をさらに備える、請求項22に記載のネットワーク。
38. 802.11のデータまたは、マネジメントフレームを当該WMに対して送る前の、当該PAPによって使用される当該暗号化プロセスが、当該フレームに対する安全性結合を同一化するステップと、
    次いで、復号および認証コード・プロトコルに従って通信のための拡張されたフレームを構築するために当該接続を使用するステップとを
    実施するメカニズムを備える、請求項37に記載のネットワーク。
39. もしフレーム目的地アドレス（アドレス1フィールド）が、局のアドレスであれば、その局および当該PAP間で共有されるユニキャスト安全性結合が、当該フレーム拡張において使用され、そして、当該フレームがデータフレームであり、そして、その目的地アドレスが、グループアドレスであるならば、当該MPDUブリッジプロトコルが、当該フレームに対する目的地BSSを特定する。そこにおいて当該特定されたBSSに対するグループ安全性結合が、当該フレーム拡張において使用される、請求項38に記載のネットワーク。
40. 非PAP局が、それがそのBSSにおいて当該PAPと共有するユニキャスト安全性結合を使用して、当該DSMに対してタイプデータまたはマネジメントの802.11MPDUを発信する、請求項39に記載のネットワーク。
41. 当該WMから802.11データまたはマネジメントフレームを受信する時、当該PAPが、当該MPDUのソース・アドレス(アドレス2フィールド)によって特定される局に対するユニキャスト安全性結合を使用して、当該フレームの完全性を解読しかつ検証しようと試みる、請求項40に記載のネットワーク。
42. 当該PAPからタイプデータまたはマネジメントの802.11MPDUを受信する時に、もし当該フレームの目的地アドレス（アドレス1フィールド）が、当該局のアドレスであれば、非PAP局が、それが当該PAPと共有しているユニキャスト安全性結合を使用して、もし当該フレームの目的地アドレスが、グループアドレスである場合には、クラス3BSSのグループ安全性結合を使用することによって、当該フレームの完全性を解読し解明しようと企図する、請求項41に記載のネットワーク。
43. 多重PAPが、ブリッジされたLANのスパニングツリーにおいて異なるブリッジに付着されていて、かつ一端末が、当該PAPの一つに結合され、かつ新しいPAPに再結合される、公衆ポイント(PAP)に一緒に接続されるブリッジの順方向テーブルまたは他の相互接続媒体を更新するためのロケーション更新方法であって、
    当該新しいPAPが、有向ブリッジプロトコルデータユニット（BPDU）を、当該局が以前結合されていた当該PAPに、送信するステップであって、
    当該BPDUの目的地アドレスが、再接続リクエストフレームの、クラス-3仮想BSS識別子（BSSID）である現アクセス・ポイント（AP）アドレスであり、かつソースアドレスが、当該局のハードウェア・アドレスであるステップと、
    特定ポートにおいて再配置MPDUを受信すると、ブリッジは、受信ポートを当該MPDUのソースアドレスに結ぶエントリによりその順方向テーブルを更新するステップと、
    そのポートに到達した当該MPDUまたは当該受信ブリッジが、当該スパニングツリーのルートでない限り、当該受信ブリッジが、その指定されたルート・ポートに再配置MPDUを転送するステップであって、
    もし、当該MPDUが、当該ブリッジの当該指定されたルート・ポートにおいて、または、ルート・ブリッジによって受信されると、それは、当該ブリッジの学習された順方向テーブルに従って転送され、これは、オプションとして、当該受信ポートを除いて全てのポートに当該MPDUを送るステップを備える、ステップとを、
    備えるロケーション更新方法。
44. ベーシック・サービス・セット(BSS)を有する発信またはマルチキャスト・ドメインの分離するステップと、
    有向グラフとして表されるポリシーによってアクセス・ポイント（AP）のブリッジの動作を決定するステップとを備え、
    所与のポリシーに対して、ノードに対するブロードキャスト・ドメインが、それ自体に対して、および全てのノードにそれがアクセスしなければならず、
    当該ポリシーの当該ブロードキャスト・ドメイン・セットは、そのノードに対する一組のブロードキャスト・ドメインであり、そして
    当該グラフのノードが局であり、仮に当該第１局が、当該第２局と通信およびアクセスし、その結果当該第２局が、当該第１局から有向または、グループフレームを受信できることが、間違いないとすると、第1の局当該第2の局へのエッジがある、
    ワイヤレス・ネットワークに対する微細なブリッジング方法。
45. さらに、ブロードキャスト・ドメインにつきグループ安全性結合を提供するステップを備える、請求項43に記載の方法。
46. 各局（ノード）が、当該ポリシーにおけるそれ自体に対するブロードキャスト・ドメインの第一グループ安全性結合と、当該局がメンバである当該ポリシーにおけるすべての他のブロードキャスト・ドメインに対する第二セットのグループ安全性結合とを有する請求項45に記載の方法。
47. 当該第一グループ安全性結合が、グループフレームを発信するために用いられ、かつグループフレームを受信するために、当該第2セットのグループ安全性結合が使用される請求項46に記載の方法。
48. 異なるベーシックサービスセットにおける発信およびマルチキャスト通信が、当該ネットワークにおける異なる復号または認証プロトコルによって保護されている、請求項42に記載のネットワーク。
49. PAPおよび局間の、そして、当該PAPおよびBSSにおける他の局間のユニキャスト・トラフィックが、当該BSSにおける異なる復号または、認証コード・プロトコルによって保護されている、請求項42に記載のネットワーク。