JP3816850B2

JP3816850B2 - MAC bridge device and terminal device

Info

Publication number: JP3816850B2
Application number: JP2002264216A
Authority: JP
Inventors: 尚久渋谷; 大輔滝; 真孝後藤; 雅裕高木
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2002-09-10
Filing date: 2002-09-10
Publication date: 2006-08-30
Anticipated expiration: 2022-09-10
Also published as: JP2004104500A

Description

【０００１】
【発明の属する技術分野】
本発明は、複数のＭＡＣブリッジから構成されるＬＡＮにおいて、エンド端末が送受信するＭＡＣフレームをＬＡＮ内の任意の位置に接続された任意の処理（例えば暗号化処理）を行う追加されたＭＡＣブリッジを経由して、例えば暗号化通信を実現する通信方法とブリッジ装置及び端末装置に関する。
【０００２】
【従来技術】
無線ＬＡＮ(Local Area Network)、例えば従来のIEEE802.11方式の無線ＬＡＮでは、有線ＬＡＮと同等のセキュリティを実現することを目的として、無線ＬＡＮ上で送受信されるデータフレームを暗号化する機能が備えられている。暗号化の方式としては、IEEE802.11の中でＷＥＰ(Wired Equivalent Privacy)が仕様化されている。ＷＥＰを用いたＬＡＮの具体的な構成は、例えば特許文献１に記載されている。このような無線ＬＡＮシステムにおける認証技術については例えば特許文献１に記載され、また無線ＬＡＮにおける暗号鍵の更新の手法については特許文献２に記載されている。最近では、ＷＥＰによる暗号化アルゴリズムの脆弱性が問題にされ始めている。
【０００３】
この問題の対策として、ＬＡＮ内に新たな暗号化機能を導入することが考えられる。具体的な方法としては、無線ＬＡＮ基地局、ＭＡＣ(Media Acess Control)ブリッジ及びルータといった既設の機器に、新規暗号化機能を追加する形態が考えられる。しかし、これら既設の機器が専用ハードウエアで構成されている場合には、当該機器の開発ベンダー以外の第三者、例えばＬＡＮセグメントを運用・管理している管理者が当該機器に新たな機能を追加することは困難である。
【０００４】
そこで、無線ＬＡＮ基地局を包含するＬＡＮ内の任意の位置に、新規暗号化機能を持つＭＡＣブリッジを設置する方法が考えられる。具体的には、新規暗号化機能を持つＭＡＣブリッジを既設の無線ＬＡＮ基地局とルータとの間の任意の位置に設置する。
【０００５】
【特許文献１】
特開２００１−１１１５４４号公報
【０００６】
【特許文献２】
特開２００１−１１１５４３号公報
【０００７】
【発明が解決しようとする課題】
上述したような無線ＬＡＮ基地局を含めた複数のＭＡＣブリッジから構成されるＬＡＮにおいて、新規暗号化機能を有するＭＡＣブリッジを既設の無線ＬＡＮ基地局とルータとの間に設置する形態では、以下のような問題が発生する。
【０００８】
同一の無線ＬＡＮ基地局に接続している端末どうしが通信を行う場合には、無線ＬＡＮ基地局のＭＡＣブリッジ機能によって、端末間でやりとりするＭＡＣフレームはブリッジ処理により折り返されて転送されてしまう。このため、新規暗号化機能を有するＭＡＣブリッジには、端末間でやりとりするＭＡＣフレームが届かず、追加されたＭＡＣブリッジによる新規暗号化機能を用いた通信を行うことができない。
【０００９】
本発明は、無線ＬＡＮに備えられている暗号機能とは別の新規暗号機能のような所定の処理を行うブリッジ装置を用いた端末間通信を可能とする通信方法とブリッジ装置及び端末装置を提供することを目的とする。
【００１５】
【課題を解決するための手段】
本発明の一観点に係るＭＡＣブリッジ装置は、ＬＡＮに接続し、前記ＬＡＮ内の無線ＬＡＮ端末から送信されたブロードキャスト宛の第１データＭＡＣフレームが自己宛の第１ヘッダの付加によってカプセル化された第１カプセル化ＭＡＣフレームを受信する手段と、
受信された前記第１カプセル化ＭＡＣフレームから前記第１データＭＡＣフレームを抽出する手段と、抽出された前記第１データＭＡＣフレームが前記ＬＡＮ内のブロードキャスト宛のＭＡＣフレームである場合に、該第１データＭＡＣフレームを暗号化して前記ＬＡＮ内の複数の外部装置宛の第２ヘッダの付加によってカプセル化してユニキャストＭＡＣフレームである複数の第２カプセル化データを生成する手段と、生成された前記複数の第２カプセル化データを前記複数の外部装置へ送信する手段とを具備する。
【００１７】
本発明の一観点に係る端末装置は、送信すべきデータＭＡＣフレームがＬＡＮ内のブロードキャスト宛のＭＡＣフレームである場合に該ブロードキャストＭＡＣフレームを外部ブリッジ装置を宛先とするヘッダの付加によりユニキャストＭＡＣフレームにカプセル化してカプセル化ＭＡＣフレームを生成する手段と、
生成された前記カプセル化ＭＡＣフレームを前記外部ブリッジ装置へ送信する手段とを具備する。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を説明する。
（第１の実施形態）
本実施形態は、ＬＡＮ内のエッジに位置するエンド端末間の通信において、端末から送信するデータまたは端末が受信するデータがＬＡＮ内の任意の位置に新たに設置されたＭＡＣブリッジとの間で暗号化処理されて送受信され、かつＬＡＮを構成するＭＡＣ層がIEEE802.11、IEEE802.3、あるいはイーサネット(R)等を含む一般的なＬＡＮ構成において適用可能である。
【００１９】
図１に、本実施形態に係るネットワークの構成例を示す。本実施形態のネットワークには、暗号化対応ＭＡＣブリッジ１００、複数の端末（ＳＴＡ）２００，２１０、有線間マルチポートＭＡＣブリッジ３００、有線・無線間ＭＡＣブリッジ（無線ＬＡＮ基地局）３１０，３２０、アクセスルータ（ＲＴ）４００、認証サーバ（ＡＳ）５００、通信相手端末（ＣＮ）６００及びバックボーンネットワーク（ＢＮ）７００が含まれる。
【００２０】
図１では３つのＭＡＣブリッジ３００，３１０，３２０が示されているが、その他のＭＡＣブリッジが同一ＬＡＮ内に存在してよい。ＭＡＣブリッジ３００，３１０，３２０間を接続する構成は、図１に限定されない。認証サーバ５００はバックボーンネットワーク７００に接続されているが、接続される位置はこれに限定されるものではない。認証サーバ５００を独立した装置と存在させず、暗号化対応ＭＡＣブリッジ１００に縮退させた構成も考えられる。
【００２１】
端末２００，２１０は、例えばIEEE802.11規格の無線ＬＡＮを用いてＬＡＮに接続される端末であり、無線ＬＡＮ基地局３１０，３２０の間をハンドオフすることも可能である。端末２００，２１０がＬＡＮに接続するために使用する通信手段は、IEEE802.11の無線ＬＡＮに限定されるものではなく、例えばIEEE802.3またはイーサネット(R)といった通信方式で接続していてもよい。通信相手端末６００は、端末２００，２１０と通信を行う端末である。通信相手端末６００は、図１ではバックボーンネットワーク７００の先の存在しているが、同一ＬＡＮ内の他の端末が端末２００，２１０との通信相手であってもよい。
【００２２】
次に、図２〜図４を用いて図１の主要部の詳細な構成を説明する。
（暗号化対応ＭＡＣブリッジ１００について）
暗号化対応ＭＡＣブリッジ１００は、端末２００，２１０との間で暗号化通信を行うＭＡＣブリッジであり、図２の下側に示されているように第１及び第２のネットワークインタフェース１０１，１０２、鍵管理部１０３、暗号化／復号化部１０４、暗号鍵テーブル１０５、カプセル化部１０６、ブリッジ処理部１０７及びブリッジテーブル１０８を有する。
【００２３】
第２のネットワークインタフェース１０２は、ＬＡＮ上で当該インタフェース１０２を一意に識別するためのＭＡＣＩＤであるMACID_MACBR100を持つ。第１のネットワークインタフェース１０１は、第２のネットワークインタフェースとは別のＭＡＣＩＤを持っていてもよい。図２では２個のネットワークインタフェース１０１，１０２のみ示しているが、これ以外のネットワークインタフェースを持っていてもよい。
【００２４】
鍵管理部１０３は、認証サーバ５００を用いて端末２００，２０１を認証し、暗号化／復号化部１０４で使用する端末２００，２１０毎に割り当てた鍵を動的に交換する。暗号化／復号化部１０４は、端末２００，２１０宛のＭＡＣフレームを暗号化し、また端末２００，２１０から受信した暗号化されているＭＡＣフレームを復号化する。暗号鍵テーブル１０５には、暗号化／復号化部１０４で使用する鍵が格納されている。
【００２５】
カプセル化／逆カプセル化部１０６は、端末２００，２１０から送信されてきたカプセル化されているＭＡＣフレームから、カプセル化を解いて暗号化されているＭＡＣフレームを抽出する逆カプセル化を行い、また端末２００，２１０に送信すべき暗号化したＭＡＣフレームを端末宛２００，２１０のＭＡＣフレームとしてカプセル化する。
【００２６】
ブリッジ処理部１０７は、各ネットワークインタフェース間のブリッジ処理（転送処理）を行う。ブリッジ処理部１０７がどのネットワークインタフェースにデータを転送すべきかの情報は、ブリッジテーブル１０８に格納されている。
【００２７】
（端末２００，２１０について）
端末２００は、図３（ａ）に示されるようにIEE802.11に対応した無線ＬＡＮ用のネットワークインタフェース２０１、鍵管理部２０２、暗号化／復号化部２０３、暗合鍵テーブル２０４及びカプセル化／逆カプセル化部２０５を有する。同様に、もう一つの端末２１０も図３（ｂ）に示されるようにネットワークインタフェース２１１、鍵管理部２１２、暗号化／復号化部２１３、暗合鍵テーブル２１４及びカプセル化／逆カプセル化部２１５を有する。端末２００，２１０は、それぞれのネットワークインタフェース２０１，２１１を一意に示すMACID_STA200, MACID_STA210を持っている。
【００２８】
鍵管理部２０２，２１２は、それぞれ認証サーバ５００による端末２００，２１０の認証が成功した場合に、暗号化／復号化部２０２，２１２でそれぞれ使用する鍵を動的に交換する。暗号化／復号化部２０２，２１２は、ＭＡＣフレームを暗号化し、また暗号化されているＭＡＣフレームを復号化する。暗号鍵テーブル２０４，２１４には、暗号化／復号化部２０３，２１３で使用する鍵が格納されている。カプセル化／逆カプセル化部２０５，２１５は、暗号化したＭＡＣフレームを暗号化対応ＭＡＣブリッジ１００宛のＭＡＣフレームとしてカプセル化し、また受信したＭＡＣフレームからカプセル化を解いて暗号化されているＭＡＣフレームを抽出する逆カプセル化を行う。
【００２９】
（有線間マルチポートＭＡＣブリッジ３００について）
有線間マルチポートＭＡＣブリッジ（スイッチ）３００は、暗号化対応ＭＡＣブリッジ１００とバックボーンネットワーク７００との間に挿入され、有線間の転送制御を行うマルチポートのＭＡＣブリッジである。図２の上側に示されるように、有線間マルチポートＭＡＣブリッジ３００は任意の数のネットワークインタフェース３０１，３０２，３０５と、各ネットワークインタフェース３０１，３０２，３０５間のデータ転送を処理するためのブリッジ処理部３０３、及びネットワークインタフェース３０１，３０２，３０５のいずれにデータを転送すべきかの情報を保持するブリッジテーブル３０４を有する。
【００３０】
（有線・無線間ＭＡＣブリッジ３１０について）
有線・無線間ＭＡＣブリッジ３１０は、有線側である暗号化対応ＭＡＣブリッジ１００と無線側との間に挿入され、有線・無線間の転送制御を行うＭＡＣブリッジ（無線ＬＡＮ基地局）である。有線・無線間ＭＡＣブリッジ３１０は、図４に示すように有線側及び無線側にそれぞれ第１及び第２のネットワークインタフェース３１１，３１２を有し、無線側にある第２のネットワークインタフェース３１２は、IEEE802.11上で自身を一意に表すＭＡＣＩＤであるMACID_MACBR310を持つ。図４中には、有線及び無線用のネットワークインタフェース３１１，３１２をそれぞれ一つずつ示しているが、それぞれの数はこれに限定されるものではなく、二つ以上あっても構わない。
【００３１】
有線・無線間ＭＡＣブリッジ３１０は、さらに有線間マルチポートＭＡＣブリッジ３００と同様に、各ネットワークインタフェース３１１，３１２間のデータ転送を処理するためのブリッジ処理部３１３、及びネットワークインタフェース３１１，３１２のいずれにデータを転送すべきかの情報を保持するブリッジテーブル３１４を有する。
【００３２】
もう一つの有線・無線間ＭＡＣブリッジ３２０も、有線・無線間ＭＡＣブリッジ３１０と同等の構成及び機能を持つ無線ＬＡＮ基地局である。図１では、端末２００，２１０が複数の無線ＬＡＮ基地局間をハンドオフ可能であることを示すために、このように複数の有線・無線間ＭＡＣブリッジ３１０，３２０を図示している。
【００３３】
（アクセスルータ４００について）
アクセスルータ４００は、当該ＬＡＮとバックボーンネットワークバックボーンネットワーク７００との間でルーティングサービスを行う装置であり、内蔵しているＬＡＮ側のネットワークインタフェース（図示せず）を一意に表すＭＡＣＩＤとして、MACID_RT400を持つ。
【００３４】
（認証サーバ５００について）
認証サーバ５００は、暗号化対応ＭＡＣブリッジ１００からの認証要求により端末２００，２１０の認証を行い、認証の成功時に必要な鍵を生成し、その鍵を暗号化対応ＭＡＣブリッジ１００及び認証された端末へ配布する。
【００３５】
（端末６００について）
通信相手端末（ＣＮ）６００は、端末２００，２１０の通信相手となる端末の一つであり、バックボーンネットワーク７００を経由して接続されている。
【００３６】
図５には、暗号化対応ＭＡＣブリッジ１００内の暗号鍵テーブル１０５及び端末２００，２１０内の暗号鍵テーブル２０４，２１４の具体例を示す。暗号化対応ＭＡＣブリッジ１００内の暗号鍵テーブル１０５は、端末２００，２１０のユニキャスト通信用の暗号鍵としてKEY_UCAST_STA200, KEY_UCAST_STA210と、ブロードキャスト通信用の端末２００，２１０に共通のＫＥＹ−ＢＣＡＳＴを含む。端末２００，２１０内の暗号鍵テーブル２０４，２１４は、それぞれユニキャスト通信用の暗号鍵KEY_UCAST_STA200, KEY_UCAST_STA210と、ブロードキャスト通信用の各端末共通で使用するKEY-BCASTを含む。
これらの暗号鍵テーブル１０５，２０４，２１４に含まれる暗号鍵は、認証サーバ５００での端末２００，２１０認証の成功の結果、認証サーバ５００から配布される。これらの暗号鍵は動的に更新されてもよい。
【００３７】
図６に示すように、ＭＡＣブリッジ１００，３００，３１０内のブリッジテーブル１０８，３０４，３１４は、それぞれアクセスルータ４００のＭＡＣＩＤであるMACID_RT400、端末２００，２１０のＭＡＣＩＤであるMACID_STA200, MACID_STA210を含む。これらのブリッジテーブル１０８，３０４，３１４は、それぞれアクセスルータ４００，端末２００，２１０から送信されたＭＡＣフレームをＭＡＣブリッジ１００，３００，３１０が受信することによって自動的に学習される。
【００３８】
次に、本実施形態における通信手順について述べる。
まず、図７、図８及び図９を参照して端末２００から端末２１０にデータを送信するユニキャスト送信のシーケンスについて説明する。
最初に、端末２００は暗号化対応ＭＡＣブリッジ１００と認証サーバ５００との間で、認証及び鍵交換を行う（ステップＳ１００）。この時使用される認証及び鍵交換の方法は、特定の方式に限定されるものではないので、ここでは省略する。ただし、これらのメッセージ交換を通して、端末２００と暗号化対応ＭＡＣブリッジ１００はそれぞれ互いのＭＡＣＩＤであるMACID_STA200, MACID_MACBR100を知るものとする。このシーケンスには、認証及び鍵交換のために複数のメッセージ交換を含んでもよい。ＭＡＣブリッジ３００，３１０でのブリッジ処理、アクセスルータ４００によるルーティング処理によって、端末２００、暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００の間で、一連のメッセージの交換が行われる。
【００３９】
ステップＳ１００での認証及び鍵交換が成功した場合、端末２００及び暗号化対応ＭＡＣブリッジ１００はそれぞれの暗号鍵テーブル２０４，１０５に取得した暗号鍵を設定する（ステップＳ１０１，Ｓ１０２）。
同様に、もう一つの端末２１０は暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００との間で認証及び鍵交換を行い（ステップＳ１０３）、認証及び鍵交換が成功した場合、端末２１０及び暗号化対応ＭＡＣブリッジ１００はそれぞれの暗号鍵テーブル２１４，１０５に取得した暗号鍵を設定する（ステップＳ１０４，Ｓ１０５）。
【００４０】
ここまでのシーケンスで、図５に示した暗号鍵テーブル１０５，２０４，２１４が設定される。また、上述した一連のメッセージ交換で発生したＭＡＣブリッジ１００，３００，３１０でのブリッジ処理により、各ＭＡＣブリッジ１００，３００，３１０内のブリッジテーブル１０８，３０４，３１４が図６で示されるように設定される。この段階では、端末２００，２１０からのデータを含むＭＡＣフレームが有線間マルチポートＭＡＣブリッジ３００に到達することはないので、ＭＡＣブリッジ３００内のブリッジテーブル３０４には、端末２００，２１０のＭＡＣＩＤのエントリは含まれない。
【００４１】
次に、端末２００は以下のような端末２１０宛のユニキャスト送信データ処理を行う（ステップＳ１１０）。まず、端末２００は端末２１０宛の図８（ａ）に示すイーサネット(R)フレーム３０００を作成し、それを暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて暗号化／復号化部２０３により暗号化する。さらに、端末２００は暗号化されたイーサネット(R)フレームをカプセル化／逆カプセル化部２０５に渡し、認証及び鍵交換で得られたトンネルすべき相手先である暗号化対応ＭＡＣブリッジ１００宛の図８（ｂ）に示すIEEE802.11フレーム３１００としてカプセル化する。図８（ｂ）のIEEE802.11フレーム３１００では、IEEE802.11ヘッダのアドレスAddress1, Address2, Address3 は、それぞれMACID_MACBR310, MACID_STA200, MACID_MACBR100であり、ＬＡＮ内の最終宛先が暗号化対応ＭＡＣブリッジ１００となっている。
【００４２】
次に、端末２００はステップＳ１１０で生成された最終宛先を暗号化対応ＭＡＣブリッジ１００とするIEEE802.11フレーム３１００を有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ１１１）。
【００４３】
一方、IEEE802.11フレーム３１００を受信した有線・無線間ＭＡＣブリッジ３１０では、当該フレーム３１００の最終宛先がアドレスAddress3で示される暗号化対応ＭＡＣブリッジ１００であり、またブリッジテーブル３１４を検索することによって、当該フレーム３１００が第１のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム３１００をその内容に応じて図８（ｃ）に示す暗号化対応ＭＡＣブリッジ１００宛のイーサネット(R)フレーム３２００、ないしは同等のIEEE802.3＋802.2形式のＭＡＣフレームに変換し（ステップＳ１１２）、第１のネットワークインタフェース３１１から暗号化対応ＭＡＣブリッジ１００へ送信する（ステップＳ１１３）。
【００４４】
自身宛のイーサネット(R)フレーム３２００を受信した暗号化対応ＭＡＣブリッジ１００では、受信したイーサネット(R)フレーム３０００からカプセル化／逆カプセル化部１０６によって、暗号化されているイーサネット(R)フレーム３２１０を抽出する。暗号化対応ＭＡＣブリッジ１００は、受信したイーサネット(R)フレーム３２００の送信元アドレスがMACID_STA200であり、また暗号鍵テーブル１０５を検索することによって端末２００用の暗号鍵がKEY-UCAST_STA200であることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗合鍵KEY-UCAST_STA200を用いて暗号化／復号化部１０４により、暗号化されているイーサネット(R)フレーム３２１０を復号化する。
【００４５】
さらに、暗号化対応ＭＡＣブリッジ１００は、次のような暗号化転送処理を行う（ステップＳ１１４）。すなわち、暗号化対応ＭＡＣブリッジ１００は復号化されたイーサネット(R)フレーム３０００の宛先が端末２１０であり、またブリッジテーブル１０８を検索することによって、復号化されたイーサネット(R)フレーム３０００が第２のネットワークインタフェース１０１に転送すべきフレームであることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗号鍵テーブル１０５を再度検索することによって端末２１０用の暗号鍵がKEY-UCAST_STA210であることを知ると、この暗号鍵KEY-UCAST_STA210を用いて、復号化されたイーサネット(R)フレーム３０００を暗号化／復号化部１０４によって暗号化する。
【００４６】
この後、暗号化対応ＭＡＣブリッジ１００は、暗号化したイーサネット(R)フレームをカプセル化／逆カプセル化部１０４によって図９（ａ）に示す端末２１０宛のイーサネット(R)フレーム３３００としてカプセル化し、有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ１１５）。
【００４７】
イーサネット(R)フレーム３３００を受信した有線・無線間ＭＡＣブリッジ３１０は、当該フレーム３３００の最終宛先が端末２１０であり、またブリッジテーブル３１４を検索することによって、第２のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム３３００を図９（ｂ）に示すIEEE802.11フレーム３４００に変換し（ステップＳ１１６）、第２のネットワークインタフェース３１２から端末２１０へ送信する（ステップＳ１１７）。
【００４８】
自身宛のIEEE802.11フレーム３４００を受信した端末２１０は、カプセル化／逆カプセル化部２０５により当該フレームから暗号化されているイーサネット(R)フレーム３４１０を抽出し、それを暗号化／復号化部２１３によって暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて復号化する。復号化されたイーサネット(R)フレーム３０００は、端末２００から自身宛に送信されたイーサネット(R)フレームであることから上位層に渡し、これで受信処理が完了する（ステップＳ１１８）。
【００４９】
次に、図１０及び図１１を参照して端末２００から通信相手端末６００にデータを送信する場合のシーケンスを説明する。
端末２００と暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００間の認証及び鍵交換は、上記のシーケンスで既に完了しているものとする。端末２００は、以下のような通信相手端末６００宛のユニキャスト送信データ処理を行う（ステップＳ２００）。すなわち、端末２００は通信相手端末６００にデータの送信を行うためにアクセスルータ４００宛の図１１（ａ）に示すイーサネット(R)フレーム４０００を作成し、それを暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて暗号化／復号化部２０３により暗号化する。
【００５０】
さらに、端末２００は暗号化したイーサネット(R)フレームをカプセル化／逆カプセル化部２０５によって、対応ＭＡＣブリッジ１００宛の図１１（ｂ）に示すIEEE802.11フレーム４１００としてカプセル化する。図１１（ｂ）に示すIEEE802.11フレーム４１００では、IEEE802.11ヘッダのアドレスAddress1, Address2, Address3 はそれぞれMACID_MACBR310, MACID_STA200, MACID_MACBR100であり、ＬＡＮ内の最終宛先はMACID_RT500で示される有線・無線間ＭＡＣブリッジ３１０となっている。
【００５１】
次に、端末２００はステップＳ２００で生成されたIEEE802.11フレーム４１００を有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ２０１）。
一方、IEEE802.11フレーム４１００を受信した有線・無線間ＭＡＣブリッジ３１０では、当該フレーム４１００の最終宛先がアドレスAddress3で示される暗号化対応ＭＡＣブリッジ１００であり、またブリッジテーブル３１４を検索することによって、当該フレーム４１００が第１のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム４１００をその内容に応じて暗号化対応ＭＡＣブリッジ１００宛の図１１（ｃ）に示すイーサネット(R)フレーム４２００、ないしは同等のIEEE802.3＋802.2形式のＭＡＣフレームに変換し（ステップＳ２０２）、第１のネットワークインタフェース３１１から暗号化対応ＭＡＣブリッジ１００へ送信する（ステップＳ２０３）。
【００５２】
自身宛のイーサネット(R)フレーム４２００を受信した暗号化対応ＭＡＣブリッジ１００は、カプセル化／逆カプセル化部１０６によって、受信したイーサネット(R)フレーム４２００から図１１（ｃ）中に示す暗号化されているイーサネット(R)フレーム４２１０を抽出する。暗号化対応ＭＡＣブリッジ１００は、イーサネット(R)フレーム４２００の送信元アドレスがMACID_STA200であり、また暗号鍵テーブル１０５を検索することによって、端末２００用の暗号鍵がKEY-UCAST_STA200であることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗合鍵KEY-UCAST_STA200を用いて暗号化／復号化部１０４により、暗号化されているイーサネット(R)フレーム４２１０を復号化する。
【００５３】
さらに、暗号化対応ＭＡＣブリッジ１００は、次のような暗号化転送処理を行う（ステップＳ２０４）。すなわち、暗号化対応ＭＡＣブリッジ１００は、復号化されたイーサネット(R)フレーム４０００の宛先がアクセスルータ４００であり、またブリッジテーブル１０８を検索することによって、復号化されたイーサネット(R)フレーム４０００が第１のネットワークインタフェース１０１に転送すべきであることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、復号化されたイーサネット(R)フレーム４０００をそのまま第１のネットワークインタフェースから有線間マルチポートＭＡＣブリッジ３００へ送信する（ステップＳ２０５）。
【００５４】
イーサネット(R)フレーム４０００を受信した有線間マルチポートＭＡＣブリッジ３００は、当該フレームの最終宛先がアクセスルータ４００であり、またブリッジテーブル３１４を検索することによって、受信したイーサネット(R)フレーム４０００が第１のネットワークインタフェース３０１へブリッジすべきであることを知ると、受信したイーサネット(R)フレーム４０００をそのまま第１のネットワークインタフェース３０１からアクセスルータ４００へ送信する（ステップＳ２０６，Ｓ２０７）。
【００５５】
自身宛のイーサネット(R)フレーム４０００を受信したアクセスルータ５００は、ＭＡＣフレームから上位層のパケットを抽出し、バックボーンネットワーク７００へルーティング処理して送信する（ステップＳ２０８，Ｓ２０９）。
以降、バックボーンネットワーク７００内をルーティングされた上位層のパケットは、最終的に通信相手端末６００へ転送され、通信相手端末６００で受信処理されて処理が完了する（ステップＳ２１０）。
ルーティングを行う上位層のプロトコルには、例えばインタネットで使用されるＩＰ(Internet Protocol)が使用されるが、これに限定されるものではない。
【００５６】
次に、図１２、図１３及び図１４を参照して端末２００からブロードキャスト宛にデータを送信する場合のシーケンスを説明する。
端末２００と暗号化対応ＭＡＣブリッジ１００及び認証サーバ５００間の認証及び鍵交換は、上記のシーケンスで既に完了しているものとする。端末２００は、以下のようなブロードキャスト宛の送信データ処理を行う（ステップＳ３００）。
【００５７】
まず、端末２００は図１３（ａ）に示すブロードキャスト宛のイーサネット(R)フレーム５０００を作成し、それを暗号鍵テーブル２０４に含まれるユニキャスト用の暗号鍵を用いて暗号化／復号化部２０３により暗号化する。さらに、端末２００は暗号化したイーサネット(R)フレームをカプセル化／逆カプセル化部２０５によって、暗号化対応ＭＡＣブリッジ１００宛の図１３（ｂ）に示すIEEE802.11フレーム５１００としてカプセル化する。図１３（ｂ）に示すIEEE802.11フレーム５１００では、IEEE802.11ヘッダのアドレスAddress1, Address2, Address3 はそれぞれMACID_MACBR310, MACID_STA200, MACID_MACBR100であり、ＬＡＮ内の最終宛先は暗号化対応ＭＡＣブリッジ１００となっている。
次に、端末２００はステップＳ３００で生成されたIEEE802.11フレーム５１００を有線・無線間ＭＡＣブリッジ３１０へ送信する（ステップＳ３０１）。
【００５８】
一方、IEEE802.11フレーム５１００を受信した有線・無線間ＭＡＣブリッジ３１０では、当該フレーム５１００の最終宛先がアドレスAddress3で示される暗号化対応ＭＡＣブリッジ１００であり、またブリッジテーブル３１４を検索することによって、当該フレーム５１００が第１のネットワークインタフェース３１１へ転送すべきフレームであることを知る。この結果、有線・無線間ＭＡＣブリッジ３１０は、ブリッジ処理部３１３により当該フレーム５１００をその内容に応じて暗号化対応ＭＡＣブリッジ１００宛の図１３（ｃ）に示すイーサネット(R)フレーム５２００、ないしは同等のIEEE802.3＋802.2形式のＭＡＣフレームに変換し（ステップＳ３０２）、第１のネットワークインタフェース３１１から暗号化対応ＭＡＣブリッジ１００へ送信する（ステップＳ３０３）。
【００５９】
一方、自身宛のイーサネット(R)フレーム５２００を受信した暗号化対応ＭＡＣブリッジ１００は、次のような暗号化転送処理を行う（ステップＳ３０４）。すなわち、暗号化対応ＭＡＣブリッジ１００では、カプセル化／逆カプセル化部１０６によって、受信したイーサネット(R)フレーム５２００から図１３（ｃ）中に示す暗号化されているイーサネット(R)フレーム５２１０を抽出する。暗号化対応ＭＡＣブリッジ１００は、イーサネット(R)フレーム５２００の送信元アドレスがMACID_STA200であり、また暗号鍵テーブル１０５を検索することによって、端末２００用の暗号鍵がKEY-UCAST_STA200であることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗号鍵KEY-UCAST_STA200を用いて暗号化／復号化部１０４により、暗号化されているイーサネット(R)フレーム５２１０を復号化する。
【００６０】
暗号化対応ＭＡＣブリッジ１００は、復号化されたイーサネット(R)フレーム５０００の宛先アドレスがブロードキャスト宛であることから、当該フレーム５０００が第１及び第２のネットワークインタフェース１０１，１０２に転送すべきフレームであることを知る。この結果、暗号化対応ＭＡＣブリッジ１００は、暗号鍵テーブル１０５に含まれるブロードキャスト用の暗号鍵KEY-BCASTを再度用いて、復号化したイーサネット(R)フレーム５０００を暗号化／復号化部１０４によって暗号化する。次に、暗号化対応ＭＡＣブリッジ１００は、暗号化したイーサネット(R)フレームをカプセル化／逆カプセル化部１０６によってブロードキャスト宛の図１４（ａ）に示すイーサネット(R)フレーム５３００にカプセル化する。
【００６１】
次に、暗号化対応ＭＡＣブリッジ１００は図１４（ａ）に示すカプセル化されたイーサネット(R)フレーム５３００第２のネットワークインタフェース１０２から送信し（ステップＳ３１０）、一方、復号化したイーサネット(R)フレーム５０００を第１のネットワークインタフェース１０２からそのままブロードキャスト宛に送信する（ステップＳ３２０）。
【００６２】
IEEE802.11の無線ＬＡＮは無線の性質上、例えばビット誤り等によりＭＡＣフレームの送信を失敗することがあるが、ブロードキャストフレームの場合、送信に失敗した場合でもＭＡＣフレームの再送は行われない。そこで、暗号化対応ＭＡＣブリッジ１００は転送すべきブロードキャスト宛のＭＡＣフレーム５３００を図１４（ｃ）に示すＭＡＣフレーム５５００のような各端末宛のユニキャストフレームにカプセル化して送信することによって、無線ＬＡＮ上でＭＡＣフレームの送信が失敗した場合にも、ユニキャストフレームに対する再送機能により、その送信の信頼性を向上させることができる。この場合、暗号化対応ＭＡＣブリッジ１００が暗号鍵を持っている全ての端末宛に、個別にそれぞれの暗号鍵で暗号化したＭＡＣフレームをユニキャストで送信する必要がある。
【００６３】
イーサネット(R)フレーム５３００を受信した有線・無線間ＭＡＣブリッジ３１０は、当該フレーム５３００の最終宛先がブロードキャストであることから、ブリッジ処理部３１３により当該フレーム５３００を図１４（ｂ）に示すIEEE802.11フレーム５４００に変換し（ステップＳ３１１）、第２のネットワークインタフェース３１２からブロードキャスト宛に送信する（ステップＳ３１２）。
【００６４】
一方、図１３（ａ）に示したイーサネット(R)フレーム５０００を受信した有線間マルチポートＭＡＣブリッジ３００は、当該フレーム５０００の最終宛先がブロードキャストであることから、第１及び第Ｎのネットワークインタフェース３０１，３０５へ転送すべきフレームであることを知る。この結果、有線間マルチポートＭＡＣブリッジ３００は、受信したフレーム５０００をそのまま第１及び第Ｎのネットワークインタフェース３０１，３０５からブロードキャスト宛に送信する（ステップＳ３２１，Ｓ３２２）。
【００６５】
ブロードキャスト宛のIEEE802.11形式のＭＡＣフレーム５４００を受信した端末２１０は、カプセル化／逆カプセル化部２０５により当該フレームから暗号化されているイーサネット(R)フレーム５４１０を抽出し、それを暗号化／復号化部２０３によって暗号鍵テーブル２０４に含まれるブロードキャスト用の暗号鍵で復号化する。復号化したイーサネット(R)フレーム５０００は、端末２００からブロードキャスト宛に送信されたイーサネット(R)フレームであることから、上位層に渡して受信処理が完了する（ステップＳ３１３）。
【００６６】
一方、ブロードキャスト宛のイーサネット(R)フレーム５０００を受信したアクセスルータ５００は、ＭＡＣフレームから上位層のパケットを抽出し、必要な処理を行って受信処理を完了する（ステップＳ３２３）。
【００６７】
以上の説明では端末２００からのデータ送信に関して述べたが、端末２１０またはアクセスルータ４００からのデータの送信も、以上と同様のシーケンスで実行される。
【００６８】
このように本実施形態によると、ＬＡＮ内の通信において、ＷＥＰ暗号化アルゴリズムとは異なった新規暗号化機能を有する第３のＭＡＣブリッジである暗号化対応ＭＡＣブリッジ１００を既設の無線ＬＡＮ基地局（有線・無線間ＭＡＣブリッジ３１０）の有線ＬＡＮ側に設置することによって、既設の機器を改変することなく、新規のよりセキュリティの高い暗号通信システムを実現することができるようになる。
【００６９】
また、暗号化対応ＭＡＣブリッジ１００によってトラフィックを終端できることにより、同一ＬＡＮ内の無線ＬＡＮ基地局３１０に接続している端末２００，２１０間の通信において、有線間マルチポートＭＡＣブリッジ３００とアクセスルータ４００間に無駄なトラフィックを発生させないため、例えばＩＰＳｅｃプロトコルを用いてアクセスルータ４００を経由した暗号化通信を行う場合に比べて、ＬＡＮ内のトラフィックを削減することも可能となる。
【００７０】
さらに、本実施形態の暗号通信システムにおいては、端末２００，２１０と暗号化対応ＭＡＣブリッジ１００間で、上りユニキャスト、上りブロードキャスト及び下りユニキャスト用の暗号鍵がそれぞれ異なり、暗号化対応ＭＡＣブリッジ１００からの下り方向のブロードキャスト用の暗号鍵は端末２００，２１０間で共通であるが、上り方向のブロードキャスト用の暗号鍵が異なっている。
【００７１】
この場合、本実施形態では例えば端末２００が本来ブロードキャストとして送信するＭＡＣフレームをユニキャストで有線・無線間ＭＡＣブリッジ３１０をブリッジ処理により転送させることによって、端末２１０をはじめとするエンド端末に暗号化鍵が不適合のために復号化できない不必要なブロードキャストフレームが到達することを抑制することが可能となる。
【００７２】
また、このようにブロードキャストフレームを各端末宛のユニキャストフレームにカプセル化して送信することにより、無線ＬＡＮ上でＭＡＣフレームの送信が失敗した場合にも、ユニキャストフレームに対する再送機能によって送信信頼性の向上を期待することができる。
【００７３】
次に、図１５〜図１７を参照して本発明の他の実施形態について説明する。これまでの実施形態では、新規暗号化機能を有する暗号化ＭＡＣブリッジ１００を追加した例について説明したが、追加されたＭＡＣブリッジは図１５〜図１７に示すような構成でもよい。図１５〜図１７では省略されているが、図２の暗号化対応ＭＡＣブリッジ１００で示したブリッジテーブル１０８も存在する。
【００７４】
図１５に示すＭＡＣブリッジ１１０は、図２に示した暗号化／復号化部１０３に代えて圧縮方式変換部１１１を有する。図１に示した有線・無線間ＭＡＣブリッジ３１０に接続されている端末２００，２１０がＭＡＣフレームの圧縮／伸長機能を有する場合、各端末が互いに異なる圧縮方式のみしかサポートしていない状況があり得る。
【００７５】
圧縮方式変換部１１１は、このような互いに通信を行う端末間の圧縮方式の違いを吸収するため、送信元端末からＭＡＣブリッジ１１０に送られてきた圧縮されているＭＡＣレームを宛先端末でサポートしている圧縮方式のＭＡＣフレームに変換する機能を有する。
【００７６】
図１６に示すＭＡＣブリッジ１２０は、図２に示した暗号化／復号化部１０３に代えてフラグメント部１２１を有する。図１に示した有線・無線間ＭＡＣブリッジ３１０に接続されている端末２００，２１０がＭＴＵ（MaximumTransferUnit）サイズの異なるリンクに接続されている場合、それらの端末間でも通信を行うことができるように、フラグメント部１２１はＭＡＣフレームサイズの変換を行う。
【００７７】
より具体的には、フラグメント／リアセンブル部１２１は、送信元端末からＭＡＣブリッジ１２０に送られてきたＭＡＣフレームを宛先端末が接続されているリンクの持つＭＴＵサイズに合致するようにフラグメント（断片化）して送信する。宛先端末では、こうしてフラグメント化されたＭＡＣフレームを受信し、リアセンブル（再組立）を行うことになる。
【００７８】
図１７に示すＭＡＣブリッジ１３０は、図２に示した暗号化／復号化部１０３に代えてバッファリング部１３１を有する。図１に示した有線・無線間ＭＡＣブリッジ３１０に接続されている端末２００，２１０が異なるリンク速度でネットワークに接続されている場合、リンク速度の低い端末に内蔵されている受信バッファがオーバフローを起こすことがある。
【００７９】
バッファリング部１３１は、このような受信バッファのオーバフローを回避するため、送信元端末のリンク速度より宛先端末のリンク速度の方が遅い場合、送信元端末からＭＡＣブリッジ１３０に送られてきたＭＡＣフレームをバッファメモリに一旦バッファリングし、これを宛先端末のリンク速度に適合した速度で読み出して送信させる。
【００８０】
このように追加されたＭＡＣブリッジは、暗号化／復号化機能を有するもののみでなく、従来のネットワークシステムで備えられていない機能、あるいは、備えられていても不十分な性能を補完したり強化したりする機能を備えていてもよい。すなわち、本発明の主旨の一つは端末間で通信を行う場合に端末間で送信する本来のＭＡＣフレームを追加されたＭＡＣブリッジを宛先とするＭＡＣヘッダを付加することでカプセル化して送信することによって、追加されたブリッジで所定の処理を施してＭＡＣフレームを転送することであり、この主旨の範囲で種々変形することが可能である。
【００８１】
【発明の効果】
以上説明したように、本発明によれば無線ＬＡＮ内の端末装置が無線ＬＡＮと有線ＬＡＮとの間に介在された第１のブリッジ装置を介して他の端末装置と通信を行うネットワークシステムにおいて、所定の処理機能を有する第２のブリッジ装置を既設の有線ＬＡＮ内に設置し、端末装置と第２のブリッジ装置との間でトンネリングさせてＭＡＣフレームの送受信を行うことによって、例えば無線ＬＡＮ基地局や有線間ＭＡＣブリッジ及びルータといった既設の機器を改変することなく、より改良された通信を実現することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係るネットワークの構成を示す図
【図２】同実施形態における暗号化対応ＭＡＣブリッジ及び有線間マルチポートＭＡＣブリッジの詳細な構成を示すブロック図
【図３】同実施形態における端末の詳細な構成を示すブロック図
【図４】同実施形態における有線・無線間ＭＡＣブリッジ（無線ＬＡＮ基地局）の詳細な構成を示すブロック図
【図５】同実施形態における暗号化対応ＭＡＣブリッジ及び端末で使用される暗号鍵テーブルの一例を示す図
【図６】同実施形態における暗号化対応ＭＡＣブリッジ、有線・無線間ＭＡＣブリッジ及び有線間マルチポートＭＡＣブリッジで使用されるブリッジテーブルの一例を示す図
【図７】同実施形態における同一ＬＡＮ内の端末間通信のシーケンスの一例を示す図
【図８】同実施形態における同一ＬＡＮ内の端末間通信時に送受信されるＭＡＣフレーム（端末２００→暗号化対応ＭＡＣブリッジ１００）の一例を示す図
【図９】同実施形態における同一ＬＡＮ内の端末間通信時に送受信されるＭＡＣフレーム（暗号化対応ＭＡＣブリッジ１００→端末２１０）の一例を示す図
【図１０】同実施形態におけるＬＡＮ内の端末とバックボーンネットワークに接続された通信相手端末との間の通信のシーケンスの一例を示す図
【図１１】同実施形態におけるＬＡＮ内の端末とバックボーンネットワークに接続された通信相手端末との間の通信時に送受信されるＭＡＣフレームの一例を示す図
【図１２】同実施形態における同一ＬＡＮ内のブロードキャスト宛の通信のシーケンスの一例を示す図
【図１３】同実施形態における同一ＬＡＮ内のブロードキャスト宛の通信時送受信されるＭＡＣフレーム（端末２００→ブロードキャスト）の一例を示す図
【図１４】同実施形態における同一ＬＡＮ内のブロードキャスト宛の通信時送受信されるＭＡＣフレーム（暗号化対応ＭＡＣブリッジ１００→ブロードキャスト）の一例を示す図
【図１５】本発明の他の実施形態に係る追加されたＭＡＣテーブルの構成を示すブロック図
【図１６】本発明の別の実施形態に係る追加されたＭＡＣテーブルの構成を示すブロック図
【図１７】本発明のさらに別の実施形態に係る追加されたＭＡＣテーブルの構成を示すブロック図
【符号の説明】
１００…暗号化対応ＭＡＣブリッジ
２００，２１０…端末
３００…有線間マルチポートＭＡＣブリッジ
３１０…有線・無線間ＭＡＣブリッジ（無線ＬＡＮ基地局）
４００…アクセスルータ
５００…認証サーバ
６００…通信相手端末
７００…バックボーンネットワーク[0001]
BACKGROUND OF THE INVENTION
The present invention provides an added MAC bridge that performs arbitrary processing (for example, encryption processing) in which a MAC frame transmitted and received by an end terminal is connected to an arbitrary position in the LAN in a LAN configured by a plurality of MAC bridges. For example, the present invention relates to a communication method, a bridge device, and a terminal device that realize encrypted communication, for example.
[0002]
[Prior art]
A wireless local area network (LAN), for example, a conventional IEEE 802.11 wireless LAN, has a function of encrypting data frames transmitted and received on the wireless LAN for the purpose of realizing security equivalent to that of the wired LAN. It has been. As an encryption method, WEP (Wired Equivalent Privacy) is specified in IEEE802.11. A specific configuration of a LAN using WEP is described in Patent Document 1, for example. An authentication technique in such a wireless LAN system is described in Patent Document 1, for example, and an encryption key update technique in the wireless LAN is described in Patent Document 2. Recently, the vulnerability of encryption algorithms by WEP has begun to be a problem.
[0003]
As a countermeasure for this problem, it is conceivable to introduce a new encryption function in the LAN. As a specific method, a form in which a new encryption function is added to existing devices such as a wireless LAN base station, a MAC (Media Access Control) bridge, and a router is conceivable. However, when these existing devices are configured with dedicated hardware, a third party other than the development vendor of the device, for example, an administrator who operates and manages the LAN segment, adds new functions to the device. It is difficult to add.
[0004]
Therefore, a method of installing a MAC bridge having a new encryption function at an arbitrary position in the LAN including the wireless LAN base station can be considered. Specifically, a MAC bridge having a new encryption function is installed at an arbitrary position between the existing wireless LAN base station and the router.
[0005]
[Patent Document 1]
JP 2001-111544 A
[0006]
[Patent Document 2]
JP 2001-111543 A
[0007]
[Problems to be solved by the invention]
In a LAN composed of a plurality of MAC bridges including a wireless LAN base station as described above, a MAC bridge having a new encryption function is installed between an existing wireless LAN base station and a router. Such a problem occurs.
[0008]
When terminals connected to the same wireless LAN base station communicate with each other, the MAC frame exchanged between the terminals is folded and transferred by the bridge processing by the MAC bridge function of the wireless LAN base station. For this reason, MAC frames exchanged between terminals do not reach the MAC bridge having the new encryption function, and communication using the new encryption function by the added MAC bridge cannot be performed.
[0009]
The present invention provides a communication method, a bridge device, and a terminal device that enable communication between terminals using a bridge device that performs predetermined processing such as a new encryption function different from the encryption function provided in a wireless LAN. The purpose is to do.
[0015]
[Means for Solving the Problems]
According to one aspect of the present invention MAC The bridge device Connected to the LAN and addressed to the broadcast sent from the wireless LAN terminal in the LAN First data MAC First encapsulation in which the frame is encapsulated by adding a first header addressed to itself MAC Means for receiving the frame;
The first encapsulation received MAC The first data from the frame MAC Means for extracting a frame and the extracted first data; MAC Frame Within the LAN broadcast MAC address If it is a frame, the first data MAC Frame Inside the LAN Encapsulate by adding second header addressed to multiple external devices and unicast MAC Means for generating a plurality of second encapsulated data that is a frame; and means for transmitting the generated second encapsulated data to the plurality of external devices.
[0017]
A terminal device according to an aspect of the present invention provides data to be transmitted. MAC Frame In the LAN broadcast MAC address Broadcast if it is a frame MAC Unicast by adding a header with the frame destined for an external bridge device MAC Encapsulate in a frame MAC Means for generating a frame;
Generated encapsulation MAC Means for transmitting a frame to the external bridge device.
[0018]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below with reference to the drawings.
(First embodiment)
In this embodiment, in communication between end terminals located at an edge in a LAN, data transmitted from the terminal or data received by the terminal is encrypted with a MAC bridge newly installed at an arbitrary position in the LAN. The present invention is applicable to a general LAN configuration in which the MAC layer that is processed and transmitted and received and that constitutes the LAN includes IEEE802.11, IEEE802.3, Ethernet (R), or the like.
[0019]
FIG. 1 shows a configuration example of a network according to the present embodiment. The network of this embodiment includes an encryption-compatible MAC bridge 100, a plurality of terminals (STAs) 200 and 210, a wired multiport MAC bridge 300, a wired / wireless MAC bridge (wireless LAN base station) 310 and 320, and an access. A router (RT) 400, an authentication server (AS) 500, a communication partner terminal (CN) 600, and a backbone network (BN) 700 are included.
[0020]
Although three MAC bridges 300, 310, and 320 are shown in FIG. 1, other MAC bridges may exist in the same LAN. The configuration for connecting the MAC bridges 300, 310, and 320 is not limited to FIG. The authentication server 500 is connected to the backbone network 700, but the connection position is not limited to this. A configuration in which the authentication server 500 does not exist as an independent device and is degenerated to the encryption-compatible MAC bridge 100 is also conceivable.
[0021]
The terminals 200 and 210 are terminals connected to the LAN using, for example, a wireless LAN of IEEE802.11 standard, and can be handed off between the wireless LAN base stations 310 and 320. The communication means used by the terminals 200 and 210 to connect to the LAN is not limited to the IEEE802.11 wireless LAN, and may be connected by a communication method such as IEEE802.3 or Ethernet (R), for example. . The communication partner terminal 600 is a terminal that communicates with the terminals 200 and 210. Although the communication partner terminal 600 exists ahead of the backbone network 700 in FIG. 1, other terminals in the same LAN may be communication partners with the terminals 200 and 210.
[0022]
Next, a detailed configuration of the main part of FIG. 1 will be described with reference to FIGS.
(About the encryption-compatible MAC bridge 100)
The encryption-compatible MAC bridge 100 is a MAC bridge that performs encrypted communication with the terminals 200 and 210. As shown in the lower side of FIG. 2, the first and second network interfaces 101, 102, A key management unit 103, an encryption / decryption unit 104, an encryption key table 105, an encapsulation unit 106, a bridge processing unit 107, and a bridge table 108 are included.
[0023]
The second network interface 102 has MACID_MACBR100, which is a MAC ID for uniquely identifying the interface 102 on the LAN. The first network interface 101 may have a MACID different from that of the second network interface. Although only two network interfaces 101 and 102 are shown in FIG. 2, other network interfaces may be provided.
[0024]
The key management unit 103 authenticates the terminals 200 and 201 using the authentication server 500, and dynamically exchanges keys assigned to the terminals 200 and 210 used by the encryption / decryption unit 104. The encryption / decryption unit 104 encrypts the MAC frame addressed to the terminals 200 and 210, and decrypts the encrypted MAC frame received from the terminals 200 and 210. The encryption key table 105 stores keys used by the encryption / decryption unit 104.
[0025]
The encapsulation / decapsulation unit 106 performs decapsulation from the encapsulated MAC frame transmitted from the terminals 200 and 210 to extract the encapsulated and encrypted MAC frame, and Encrypted MAC frames to be transmitted to the terminals 200 and 210 are encapsulated as MAC frames for the terminals 200 and 210.
[0026]
The bridge processing unit 107 performs bridge processing (transfer processing) between the network interfaces. Information about which network interface the bridge processing unit 107 should transfer data to is stored in the bridge table 108.
[0027]
(About terminals 200 and 210)
As shown in FIG. 3A, the terminal 200 includes a wireless LAN network interface 201, a key management unit 202, an encryption / decryption unit 203, an encryption key table 204, and an encapsulation / reverse function that support IEE802.11. An encapsulation unit 205 is included. Similarly, another terminal 210 includes a network interface 211, a key management unit 212, an encryption / decryption unit 213, an encryption key table 214, and an encapsulation / decapsulation unit 215 as shown in FIG. Have. The terminals 200 and 210 have MACID_STA200 and MACID_STA210 that uniquely indicate the network interfaces 201 and 211, respectively.
[0028]
The key management units 202 and 212 dynamically exchange keys used by the encryption / decryption units 202 and 212 when the authentication of the terminals 200 and 210 by the authentication server 500 is successful. The encryption / decryption units 202 and 212 encrypt the MAC frame and decrypt the encrypted MAC frame. In the encryption key tables 204 and 214, keys used by the encryption / decryption units 203 and 213 are stored. The encapsulation / decapsulation units 205 and 215 encapsulate the encrypted MAC frame as a MAC frame addressed to the encryption-compatible MAC bridge 100, and also decrypt the MAC frame received from the received MAC frame for encryption. Perform decapsulation to extract.
[0029]
(About wired multiport MAC bridge 300)
The wired multiport MAC bridge (switch) 300 is a multiport MAC bridge that is inserted between the encryption-compatible MAC bridge 100 and the backbone network 700 and performs transfer control between wires. As shown in the upper side of FIG. 2, the wired multiport MAC bridge 300 is an arbitrary number of network interfaces 301, 302, 305 and a bridge process for processing data transfer between the network interfaces 301, 302, 305. A bridge table 304 that holds information on which of the unit 303 and the network interfaces 301, 302, and 305 should transfer data to.
[0030]
(About wired / wireless MAC bridge 310)
The wired / wireless MAC bridge 310 is a MAC bridge (wireless LAN base station) that is inserted between the encryption-compatible MAC bridge 100 on the wired side and the wireless side and performs wired / wireless transfer control. As shown in FIG. 4, the wired-wireless MAC bridge 310 includes first and second network interfaces 311 and 312 on the wired side and the wireless side, respectively, and the second network interface 312 on the wireless side is IEEE802. It has MACID_MACBR310 which is a MACID uniquely representing itself on .11. FIG. 4 shows one each of the wired and wireless network interfaces 311 and 312, but the number of each is not limited to this, and there may be two or more.
[0031]
Similarly to the wired multiport MAC bridge 300, the wired / wireless MAC bridge 310 further includes a bridge processing unit 313 for processing data transfer between the network interfaces 311 and 312 and the network interfaces 311 and 312. It has a bridge table 314 that holds information on whether data should be transferred.
[0032]
Another wired / wireless MAC bridge 320 is also a wireless LAN base station having the same configuration and function as the wired / wireless MAC bridge 310. In FIG. 1, a plurality of wired / wireless MAC bridges 310 and 320 are illustrated in this manner in order to indicate that the terminals 200 and 210 can handoff between a plurality of wireless LAN base stations.
[0033]
(About the access router 400)
The access router 400 is a device that performs a routing service between the LAN and the backbone network 700, and has MACID_RT400 as a MACID that uniquely represents a built-in LAN-side network interface (not shown).
[0034]
(About the authentication server 500)
The authentication server 500 authenticates the terminals 200 and 210 in response to an authentication request from the encryption-compatible MAC bridge 100, generates a key necessary for successful authentication, and uses the key as the encryption-compatible MAC bridge 100 and the authenticated terminal. Distribute to
[0035]
(About terminal 600)
A communication partner terminal (CN) 600 is one of terminals serving as communication partners of the terminals 200 and 210, and is connected via the backbone network 700.
[0036]
FIG. 5 shows specific examples of the encryption key table 105 in the encryption-compatible MAC bridge 100 and the encryption key tables 204 and 214 in the terminals 200 and 210. The encryption key table 105 in the encryption-compatible MAC bridge 100 includes KEY_UCAST_STA200 and KEY_UCAST_STA210 as encryption keys for unicast communication of the terminals 200 and 210, and KEY-BCAST common to the terminals 200 and 210 for broadcast communication. The encryption key tables 204 and 214 in the terminals 200 and 210 include encryption keys KEY_UCAST_STA200 and KEY_UCAST_STA210 for unicast communication, and KEY-BCAST used in common for each terminal for broadcast communication, respectively.
The encryption keys included in these encryption key tables 105, 204, and 214 are distributed from the authentication server 500 as a result of the successful authentication of the terminals 200 and 210 by the authentication server 500. These encryption keys may be updated dynamically.
[0037]
As shown in FIG. 6, the bridge tables 108, 304, and 314 in the MAC bridges 100, 300, and 310 include MACID_RT400 that is the MACID of the access router 400 and MACID_STA200 and MACID_STA210 that are the MACIDs of the terminals 200 and 210, respectively. These bridge tables 108, 304, and 314 are automatically learned when the MAC bridges 100, 300, and 310 receive MAC frames transmitted from the access router 400 and the terminals 200 and 210, respectively.
[0038]
Next, the communication procedure in this embodiment will be described.
First, a unicast transmission sequence in which data is transmitted from terminal 200 to terminal 210 will be described with reference to FIG. 7, FIG. 8, and FIG.
First, the terminal 200 performs authentication and key exchange between the encryption-compatible MAC bridge 100 and the authentication server 500 (step S100). The authentication and key exchange method used at this time is not limited to a specific method, and is omitted here. However, it is assumed that the terminal 200 and the encryption-compatible MAC bridge 100 know MACID_STA200 and MACID_MACBR100, which are mutual MACIDs, through these message exchanges. This sequence may include multiple message exchanges for authentication and key exchange. A series of messages are exchanged among the terminal 200, the encryption-compatible MAC bridge 100, and the authentication server 500 by the bridge processing in the MAC bridges 300 and 310 and the routing processing by the access router 400.
[0039]
When the authentication and key exchange in step S100 are successful, the terminal 200 and the encryption-compatible MAC bridge 100 set the obtained encryption keys in the encryption key tables 204 and 105 (steps S101 and S102).
Similarly, the other terminal 210 performs authentication and key exchange between the encryption-compatible MAC bridge 100 and the authentication server 500 (step S103). If the authentication and key exchange are successful, the terminal 210 and the encryption-compatible MAC are performed. The bridge 100 sets the acquired encryption key in the encryption key tables 214 and 105 (steps S104 and S105).
[0040]
The encryption key tables 105, 204, and 214 shown in FIG. 5 are set in the sequence so far. Further, the bridge table 108, 304, 314 in each MAC bridge 100, 300, 310 is set as shown in FIG. 6 by the bridge processing in the MAC bridge 100, 300, 310 generated by the series of message exchanges described above. Is done. At this stage, since the MAC frame including data from the terminals 200 and 210 does not reach the wired multi-port MAC bridge 300, the MAC table entry in the MAC bridge 300 has entries for the MACIDs of the terminals 200 and 210. Is not included.
[0041]
Next, the terminal 200 performs the following unicast transmission data processing addressed to the terminal 210 (step S110). First, the terminal 200 creates the Ethernet® frame 3000 shown in FIG. 8A addressed to the terminal 210, and encrypts / decrypts it using a unicast encryption key included in the encryption key table 204. Encryption is performed according to 203. Further, the terminal 200 passes the encrypted Ethernet (R) frame to the encapsulation / decapsulation unit 205, and is obtained by authentication and key exchange, and is a diagram addressed to the encryption-compatible MAC bridge 100 that is a partner to be tunneled. It is encapsulated as an IEEE802.11 frame 3100 shown in FIG. In the IEEE802.11 frame 3100 of FIG. 8B, the addresses Address1, Address2, and Address3 of the IEEE802.11 header are MACID_MACBR310, MACID_STA200, and MACID_MACBR100, respectively, and the final destination in the LAN is the encryption-compatible MAC bridge 100. Yes.
[0042]
Next, the terminal 200 transmits an IEEE802.11 frame 3100 in which the final destination generated in step S110 is the encryption-compatible MAC bridge 100 to the wired / wireless MAC bridge 310 (step S111).
[0043]
On the other hand, in the wired / wireless MAC bridge 310 that received the IEEE802.11 frame 3100, the final destination of the frame 3100 is the encryption-compatible MAC bridge 100 indicated by the address Address3, and by searching the bridge table 314, It knows that the frame 3100 is a frame to be transferred to the first network interface 311. As a result, the wired-to-wireless MAC bridge 310 causes the bridge processing unit 313 to change the frame 3100 according to the contents thereof to the Ethernet (R) frame 3200 addressed to the encryption-compatible MAC bridge 100 shown in FIG. Is converted to an IEEE802.3 + 802.2 format MAC frame (step S112), and is transmitted from the first network interface 311 to the encryption-compatible MAC bridge 100 (step S113).
[0044]
In the encryption-compatible MAC bridge 100 that has received the Ethernet (R) frame 3200 addressed to itself, the encapsulation / decapsulation unit 106 encrypts the Ethernet (R) frame 3210 from the received Ethernet (R) frame 3000. To extract. The encryption-compatible MAC bridge 100 knows that the transmission source address of the received Ethernet (R) frame 3200 is MACID_STA200, and that the encryption key for the terminal 200 is KEY-UCAST_STA200 by searching the encryption key table 105. . As a result, the encryption-compatible MAC bridge 100 decrypts the encrypted Ethernet® frame 3210 by the encryption / decryption unit 104 using the encryption key KEY-UCAST_STA200.
[0045]
Further, the encryption-compatible MAC bridge 100 performs the following encryption transfer process (step S114). That is, in the encryption-compatible MAC bridge 100, the destination of the decrypted Ethernet (R) frame 3000 is the terminal 210, and by searching the bridge table 108, the decrypted Ethernet (R) frame 3000 is the second one. It is known that the frame should be transferred to the network interface 101. As a result, when the encryption-compatible MAC bridge 100 finds that the encryption key for the terminal 210 is KEY-UCAST_STA210 by searching the encryption key table 105 again, decryption is performed using this encryption key KEY-UCAST_STA210. The encrypted Ethernet (R) frame 3000 is encrypted by the encryption / decryption unit 104.
[0046]
Thereafter, the encryption-compatible MAC bridge 100 encapsulates the encrypted Ethernet (R) frame as an Ethernet (R) frame 3300 addressed to the terminal 210 shown in FIG. The data is transmitted to the wired / wireless MAC bridge 310 (step S115).
[0047]
The wired-to-wireless MAC bridge 310 that has received the Ethernet® frame 3300 should transfer the frame 3300 to the second network interface 311 by searching the bridge table 314 with the terminal 210 being the final destination. Know that it is a frame. As a result, the wired / wireless MAC bridge 310 converts the frame 3300 into the IEEE802.11 frame 3400 shown in FIG. 9B by the bridge processing unit 313 (step S116), and the second network interface 312 to the terminal 210. (Step S117).
[0048]
The terminal 210 that has received the IEEE802.11 frame 3400 addressed to itself extracts the Ethernet (R) frame 3410 encrypted from the frame by the encapsulation / decapsulation unit 205 and encrypts / decrypts it. In step 213, decryption is performed using the unicast encryption key included in the encryption key table 204. Since the decrypted Ethernet® frame 3000 is an Ethernet® frame transmitted from the terminal 200 to itself, it is passed to the upper layer, and the reception process is completed (step S118).
[0049]
Next, a sequence in the case where data is transmitted from the terminal 200 to the communication partner terminal 600 will be described with reference to FIGS.
It is assumed that authentication and key exchange between the terminal 200, the encryption-compatible MAC bridge 100, and the authentication server 500 have already been completed in the above sequence. The terminal 200 performs the following unicast transmission data processing addressed to the communication partner terminal 600 (step S200). That is, terminal 200 creates Ethernet (R) frame 4000 shown in FIG. 11A addressed to access router 400 in order to transmit data to communication partner terminal 600, and unicast included in encryption key table 204. Encryption is performed by the encryption / decryption unit 203 using the encryption key for use.
[0050]
Furthermore, the terminal 200 encapsulates the encrypted Ethernet (R) frame by the encapsulation / decapsulation unit 205 as an IEEE 802.11 frame 4100 shown in FIG. In the IEEE802.11 frame 4100 shown in FIG. 11B, the addresses Address1, Address2, and Address3 of the IEEE802.11 header are MACID_MACBR310, MACID_STA200, and MACID_MACBR100, respectively, and the final destination in the LAN is the MAC between wired and wireless indicated by MACID_RT500. It is a bridge 310.
[0051]
Next, the terminal 200 transmits the IEEE802.11 frame 4100 generated in step S200 to the wired / wireless MAC bridge 310 (step S201).
On the other hand, in the wired / wireless MAC bridge 310 that has received the IEEE802.11 frame 4100, the final destination of the frame 4100 is the encryption-compatible MAC bridge 100 indicated by the address Address3, and by searching the bridge table 314, It knows that the frame 4100 is a frame to be transferred to the first network interface 311. As a result, the wired-to-wireless MAC bridge 310 uses the bridge processing unit 313 to convert the frame 4100 into the Ethernet (R) frame 4200 shown in FIG. The IEEE 802.3 + 802.2 format MAC frame is converted (step S202), and is transmitted from the first network interface 311 to the encryption-compatible MAC bridge 100 (step S203).
[0052]
The encryption-compatible MAC bridge 100 that has received the Ethernet (R) frame 4200 addressed to itself is encrypted by the encapsulation / decapsulation unit 106 from the received Ethernet (R) frame 4200 in FIG. 11C. The Ethernet® frame 4210 is extracted. The encryption-compatible MAC bridge 100 knows that the transmission source address of the Ethernet (R) frame 4200 is MACID_STA200 and searches the encryption key table 105 to determine that the encryption key for the terminal 200 is KEY-UCAST_STA200. As a result, the encryption-compatible MAC bridge 100 decrypts the encrypted Ethernet (R) frame 4210 by the encryption / decryption unit 104 using the encryption key KEY-UCAST_STA200.
[0053]
Further, the encryption-compatible MAC bridge 100 performs the following encryption transfer process (step S204). That is, in the encryption-compatible MAC bridge 100, the destination of the decrypted Ethernet (R) frame 4000 is the access router 400, and by searching the bridge table 108, the decrypted Ethernet (R) frame 4000 is Know that it should be transferred to the first network interface 101. As a result, the encryption-compatible MAC bridge 100 transmits the decrypted Ethernet® frame 4000 as it is from the first network interface to the wired multiport MAC bridge 300 (step S205).
[0054]
The wired multiport MAC bridge 300 that has received the Ethernet (R) frame 4000 has the final destination of the frame as the access router 400, and by searching the bridge table 314, the received Ethernet (R) frame 4000 becomes the first one. When it is known that the bridge should be bridged to the first network interface 301, the received Ethernet frame 4000 is transmitted as it is from the first network interface 301 to the access router 400 (steps S206 and S207).
[0055]
Receiving the Ethernet (R) frame 4000 addressed to itself, the access router 500 extracts the upper layer packet from the MAC frame, performs routing processing to the backbone network 700, and transmits the extracted packet (steps S208 and S209).
Thereafter, the upper layer packet routed in the backbone network 700 is finally transferred to the communication partner terminal 600, and is received and processed by the communication partner terminal 600, thereby completing the process (step S210).
As an upper layer protocol for performing routing, for example, IP (Internet Protocol) used in the Internet is used, but is not limited thereto.
[0056]
Next, a sequence in the case of transmitting data from the terminal 200 to the broadcast will be described with reference to FIG. 12, FIG. 13, and FIG.
It is assumed that authentication and key exchange between the terminal 200, the encryption-compatible MAC bridge 100, and the authentication server 500 have already been completed in the above sequence. The terminal 200 performs transmission data processing addressed to the broadcast as follows (step S300).
[0057]
First, the terminal 200 creates an Ethernet (R) frame 5000 addressed to the broadcast shown in FIG. 13A, and encrypts / decrypts it using the unicast encryption key included in the encryption key table 204. Encrypt with Further, the terminal 200 encapsulates the encrypted Ethernet (R) frame by the encapsulation / decapsulation unit 205 as an IEEE802.11 frame 5100 shown in FIG. In the IEEE 802.11 frame 5100 shown in FIG. 13B, the addresses Address1, Address2, and Address3 of the IEEE802.11 header are MACID_MACBR310, MACID_STA200, and MACID_MACBR100, respectively, and the final destination in the LAN is the encryption-compatible MAC bridge 100. Yes.
Next, the terminal 200 transmits the IEEE802.11 frame 5100 generated in step S300 to the wired / wireless MAC bridge 310 (step S301).
[0058]
On the other hand, in the wired / wireless MAC bridge 310 that has received the IEEE802.11 frame 5100, the final destination of the frame 5100 is the encryption-compatible MAC bridge 100 indicated by the address Address3, and by searching the bridge table 314, It knows that the frame 5100 is a frame to be transferred to the first network interface 311. As a result, the wired-to-wireless MAC bridge 310 uses the bridge processing unit 313 to convert the frame 5100 into the Ethernet (R) frame 5200 shown in FIG. The IEEE 802.3 + 802.2 format MAC frame is converted (step S302), and is transmitted from the first network interface 311 to the encryption-compatible MAC bridge 100 (step S303).
[0059]
On the other hand, the encryption-compatible MAC bridge 100 that has received the Ethernet (R) frame 5200 addressed to itself performs the following encrypted transfer process (step S304). That is, in the encryption-compatible MAC bridge 100, the encapsulation / decapsulation unit 106 extracts the encrypted Ethernet frame 5210 shown in FIG. 13C from the received Ethernet frame 5200. To do. The encryption-compatible MAC bridge 100 knows that the source address of the Ethernet® frame 5200 is MACID_STA200 and searches the encryption key table 105 to find that the encryption key for the terminal 200 is KEY-UCAST_STA200. As a result, the encryption-compatible MAC bridge 100 decrypts the encrypted Ethernet® frame 5210 by the encryption / decryption unit 104 using the encryption key KEY-UCAST_STA200.
[0060]
In the encryption-compatible MAC bridge 100, since the destination address of the decrypted Ethernet® frame 5000 is addressed to broadcast, the frame 5000 is a frame to be transferred to the first and second network interfaces 101 and 102. Know that there is. As a result, the encryption-compatible MAC bridge 100 uses the broadcast encryption key KEY-BCAST included in the encryption key table 105 again to encrypt the decrypted Ethernet® frame 5000 by the encryption / decryption unit 104. Turn into. Next, the encryption-compatible MAC bridge 100 encapsulates the encrypted Ethernet (R) frame into the Ethernet (R) frame 5300 shown in FIG. 14A addressed to the broadcast by the encapsulation / decapsulation unit 106.
[0061]
Next, the encryption-compatible MAC bridge 100 transmits the encapsulated Ethernet (R) frame 5300 shown in FIG. 14A from the second network interface 102 (step S310), while the decrypted Ethernet (R) is transmitted. The frame 5000 is transmitted from the first network interface 102 to the broadcast as it is (step S320).
[0062]
An IEEE802.11 wireless LAN may fail to transmit a MAC frame due to, for example, a bit error due to wireless properties. However, in the case of a broadcast frame, retransmission of the MAC frame is not performed even if transmission fails. Therefore, the encryption-compatible MAC bridge 100 encapsulates the MAC frame 5300 addressed to the broadcast to be transferred into a unicast frame addressed to each terminal such as the MAC frame 5500 shown in FIG. Even when the transmission of the MAC frame fails, the transmission reliability can be improved by the retransmission function for the unicast frame. In this case, it is necessary to transmit, by unicast, MAC frames individually encrypted with the respective encryption keys to all terminals having the encryption key for the MAC bridge 100 for encryption.
[0063]
Since the final destination of the frame 5300 is broadcast, the wired / wireless MAC bridge 310 that has received the Ethernet® frame 5300 transmits the frame 5300 to the IEEE802.11 shown in FIG. 14B by the bridge processing unit 313. The frame is converted into a frame 5400 (step S311), and transmitted from the second network interface 312 to the broadcast (step S312).
[0064]
On the other hand, the wired multiport MAC bridge 300 that has received the Ethernet® frame 5000 shown in FIG. 13A has the first and Nth network interfaces 301 because the final destination of the frame 5000 is broadcast. , 305, the frame to be transferred is known. As a result, the wired multiport MAC bridge 300 transmits the received frame 5000 as it is from the first and Nth network interfaces 301 and 305 to the broadcast (steps S321 and S322).
[0065]
Upon receiving the IEEE802.11 format MAC frame 5400 addressed to the broadcast, the terminal 210 extracts the encrypted Ethernet (R) frame 5410 from the frame by the encapsulation / decapsulation unit 205, and encrypts / Decryption is performed by the decryption unit 203 using the broadcast encryption key included in the encryption key table 204. Since the decrypted Ethernet (R) frame 5000 is an Ethernet (R) frame transmitted from the terminal 200 to the broadcast address, the decrypted Ethernet (R) frame 5000 is passed to the upper layer to complete the reception process (step S313).
[0066]
On the other hand, the access router 500 that has received the Ethernet (R) frame 5000 addressed to the broadcast extracts an upper layer packet from the MAC frame, performs necessary processing, and completes the reception processing (step S323).
[0067]
In the above description, data transmission from the terminal 200 has been described, but data transmission from the terminal 210 or the access router 400 is also executed in the same sequence as described above.
[0068]
As described above, according to this embodiment, in communication within a LAN, the encryption-compatible MAC bridge 100, which is a third MAC bridge having a new encryption function different from the WEP encryption algorithm, is installed in an existing wireless LAN base station ( By installing on the wired LAN side of the wired-wireless MAC bridge 310), it becomes possible to realize a new higher-security cryptographic communication system without modifying existing equipment.
[0069]
Further, since the traffic can be terminated by the encryption-compatible MAC bridge 100, the communication between the terminals 200 and 210 connected to the wireless LAN base station 310 in the same LAN can be performed between the wired multiport MAC bridge 300 and the access router 400. Therefore, it is possible to reduce the traffic in the LAN as compared with the case where encrypted communication is performed via the access router 400 using the IPSec protocol, for example.
[0070]
Furthermore, in the cryptographic communication system of the present embodiment, the encryption keys for uplink unicast, uplink broadcast, and downlink unicast are different between the terminals 200 and 210 and the encryption-compatible MAC bridge 100, and the encryption-compatible MAC bridge 100 is different. The encryption key for broadcasting in the downstream direction is common to the terminals 200 and 210, but the encryption key for broadcasting in the upstream direction is different.
[0071]
In this case, in this embodiment, for example, the encryption key is transmitted to end terminals including the terminal 210 by transferring the MAC frame originally transmitted by the terminal 200 as a broadcast by unicasting the wired / wireless MAC bridge 310 by bridge processing. Can be prevented from reaching unnecessary broadcast frames that cannot be decoded due to incompatibility.
[0072]
In addition, by transmitting a broadcast frame encapsulated in a unicast frame addressed to each terminal in this way, even if the transmission of a MAC frame on the wireless LAN fails, the retransmission function for the unicast frame can improve transmission reliability. We can expect improvement.
[0073]
Next, another embodiment of the present invention will be described with reference to FIGS. In the embodiments so far, the example in which the encrypted MAC bridge 100 having the new encryption function is added has been described. However, the added MAC bridge may have a configuration as illustrated in FIGS. 15 to 17. Although omitted in FIGS. 15 to 17, there is also a bridge table 108 indicated by the encryption-compatible MAC bridge 100 in FIG. 2.
[0074]
A MAC bridge 110 illustrated in FIG. 15 includes a compression method conversion unit 111 instead of the encryption / decryption unit 103 illustrated in FIG. When the terminals 200 and 210 connected to the wired / wireless MAC bridge 310 shown in FIG. 1 have a MAC frame compression / decompression function, there may be situations where each terminal supports only different compression methods. .
[0075]
The compression method converter 111 supports the compressed MAC frame sent from the transmission source terminal to the MAC bridge 110 at the destination terminal in order to absorb such a difference in compression method between terminals communicating with each other. It has a function of converting to a MAC frame of the compression method.
[0076]
The MAC bridge 120 illustrated in FIG. 16 includes a fragment unit 121 instead of the encryption / decryption unit 103 illustrated in FIG. When the terminals 200 and 210 connected to the wired / wireless MAC bridge 310 shown in FIG. 1 are connected to links having different MTU (Maximum Transfer Unit) sizes, the terminals 200 and 210 can communicate with each other. The fragment unit 121 converts the MAC frame size.
[0077]
More specifically, the fragment / reassembler 121 performs fragmentation (fragmentation) so that the MAC frame sent from the transmission source terminal to the MAC bridge 120 matches the MTU size of the link to which the destination terminal is connected. ) And send. The destination terminal receives the MAC frame thus fragmented and performs reassembly (reassembly).
[0078]
The MAC bridge 130 illustrated in FIG. 17 includes a buffering unit 131 instead of the encryption / decryption unit 103 illustrated in FIG. When the terminals 200 and 210 connected to the wired / wireless MAC bridge 310 shown in FIG. 1 are connected to the network at different link speeds, the reception buffer built in the terminal having a low link speed causes an overflow. Sometimes.
[0079]
In order to avoid such overflow of the reception buffer, the buffering unit 131 transmits the MAC frame sent from the source terminal to the MAC bridge 130 when the link speed of the destination terminal is slower than the link speed of the source terminal. Is once buffered in the buffer memory, and is read and transmitted at a speed suitable for the link speed of the destination terminal.
[0080]
The MAC bridge added in this way not only has an encryption / decryption function, but also complements or strengthens functions that are not provided in the conventional network system, or are insufficient even if provided. You may have the function to do. That is, one of the gist of the present invention is to encapsulate and transmit by adding a MAC header destined for a MAC bridge to which an original MAC frame transmitted between terminals is added when communicating between terminals. Thus, a predetermined process is performed by the added bridge to transfer the MAC frame, and various modifications can be made within the scope of this gist.
[0081]
【The invention's effect】
As described above, according to the present invention, in the network system in which the terminal device in the wireless LAN communicates with other terminal devices via the first bridge device interposed between the wireless LAN and the wired LAN, By installing a second bridge device having a predetermined processing function in an existing wired LAN and tunneling between the terminal device and the second bridge device to transmit and receive MAC frames, for example, a wireless LAN base station It is possible to realize more improved communication without modifying existing devices such as a wired MAC bridge and a router.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration of a network according to a first embodiment of the present invention.
FIG. 2 is a block diagram showing a detailed configuration of an encryption-compatible MAC bridge and a wired multiport MAC bridge in the embodiment;
FIG. 3 is a block diagram showing a detailed configuration of a terminal according to the embodiment.
FIG. 4 is a block diagram showing a detailed configuration of a wired / wireless MAC bridge (wireless LAN base station) in the embodiment;
FIG. 5 is a view showing an example of an encryption key table used in the encryption-compatible MAC bridge and terminal in the embodiment;
FIG. 6 is a diagram showing an example of a bridge table used in the encryption-compatible MAC bridge, the wired / wireless MAC bridge, and the wired multiport MAC bridge in the embodiment;
FIG. 7 is a view showing an example of a communication sequence between terminals in the same LAN in the embodiment.
FIG. 8 is a view showing an example of a MAC frame (terminal 200 → encryption-compatible MAC bridge 100) transmitted and received during communication between terminals in the same LAN in the embodiment;
FIG. 9 is a view showing an example of a MAC frame (encryption-compatible MAC bridge 100 → terminal 210) transmitted and received during communication between terminals in the same LAN in the embodiment;
FIG. 10 is a diagram showing an example of a communication sequence between a terminal in the LAN and a communication partner terminal connected to the backbone network in the embodiment.
FIG. 11 is a diagram showing an example of a MAC frame transmitted and received during communication between a terminal in the LAN and a communication partner terminal connected to the backbone network in the embodiment.
FIG. 12 is a view showing an example of a communication sequence addressed to broadcast in the same LAN in the embodiment;
FIG. 13 is a view showing an example of a MAC frame (terminal 200 → broadcast) transmitted and received during communication addressed to broadcast in the same LAN in the embodiment;
FIG. 14 is a diagram showing an example of a MAC frame (encryption-compatible MAC bridge 100 → broadcast) transmitted and received during communication addressed to broadcast in the same LAN in the embodiment;
FIG. 15 is a block diagram showing a configuration of an added MAC table according to another embodiment of the present invention.
FIG. 16 is a block diagram showing a configuration of an added MAC table according to another embodiment of the present invention.
FIG. 17 is a block diagram showing a configuration of an added MAC table according to still another embodiment of the present invention.
[Explanation of symbols]
100 ... MAC bridge for encryption
200, 210 ... terminal
300 ... Multiport MAC bridge between wires
310 ... MAC bridge between wired and wireless (wireless LAN base station)
400 ... access router
500 ... Authentication server
600 ... Communication partner terminal
700 ... backbone network

Claims

Means for connecting to a LAN and receiving a first encapsulated MAC frame in which a first data MAC frame addressed to a broadcast transmitted from a wireless LAN terminal in the LAN is encapsulated by adding a first header addressed to itself;
Means for extracting the first data MAC frame from the received first encapsulated MAC frame;
When the extracted first data MAC frame is a MAC frame addressed to a broadcast in the LAN, the first data MAC frame is encrypted and a second header addressed to a plurality of external devices in the LAN is added. Means for encapsulating and generating a plurality of second encapsulated data that are unicast MAC frames;
MAC bridging device that generated the plurality of second encapsulated data has been and means for transmitting to said plurality of external devices.

The broadcast MAC frame encapsulated unicast MAC frame by adding a header to the external bridge device destined to generate an encapsulated MAC frame if the data MAC frame to be transmitted as a MAC frame addressed to the broadcast in the LAN Means,
A terminal device comprising: means for transmitting the generated encapsulated MAC frame to the external bridge device.