(57)【要約】      （修正有）【課題】無線デバイスを無線ネットワークへ接続するアクセス・ポイントは、規準セット、たとえば、ネットワーク・アクセスを要求するデバイスのＩＤおよび物理的ロケーション、デバイスをネットワークへ接続するアクセス・ポイント、およびユーザ資格に基づいて、デバイスへ与えられるアクセス特権を決定する。【解決手段】デバイスのロケーションは、デバイス信号の信号強度を使用して、ロケーション決定システムによって決定される。ロケーション情報およびＩＤ情報はアクセス・サーバへ提供され、アクセス・サーバは規準セットを使用して特権データベースからアクセス特権を読み出す。読み出されたアクセス特権は、アクセス・ポイントおよび無線ネットワーク内の他のデバイスによって無線デバイスへ適用される。【選択図】図２
2006304285.tif 000002
【特許請求の範囲】
【請求項１】
無線クライアントとアクセス・ポイントとの間で送られる無線周波信号を介してネットワークへ接続されている無線クライアントのロケーションに基づいて、無線ネットワーク内でアクセス特権を制御する方法であって、
（ａ）無線周波信号の測定された特性に基づいて無線クライアントのロケーションを計算し、
（ｂ）無線クライアントを識別する情報を受け取り、
（ｃ）無線クライアントのロケーションおよび識別情報に基づいて一連のアクセス特権を生成し、
（ｄ）該アクセス特権を無線クライアントへ適用する
ことを含む方法。
【請求項２】
ステップ（ａ）が、ＲＦ指紋方法を使用して前記無線クライアントのロケーションを計算することを含む、請求項１に記載の方法。
【請求項３】
ステップ（ｂ）が、前記アクセス・ポイントから前記無線クライアントのデバイスＩＤを受け取ることを含む、請求項１に記載の方法。
【請求項４】
前記デバイスＩＤがデバイスＭＡＣアドレスである、請求項３に記載の方法。
【請求項５】
ステップ（ｂ）が、前記アクセス・ポイントから、前記アクセス・ポイントのアクセス・ポイントＩＤを受け取ることを含む、請求項３に記載の方法。
【請求項６】
ステップ（ｃ）が、前記無線クライアントの前記ロケーションおよび前記識別情報を使用して特権データベースから前記一連のアクセス特権を読み出すことを含む、請求項１に記載の方法。
【請求項７】
前記アクセス・ポイントが前記ＲＡＤＩＵＳサーバと対話して前記ネットワークへのアクセスを取得し、ステップ（ｄ）が、前記アクセス特権を前記ＲＡＤＩＵＳサーバへ送り、前記ＲＡＤＩＵＳサーバを使用して前記アクセス・ポイントに特権を適用させることを含む、請求項１に記載の方法。
【請求項８】
ステップ（ｄ）が、前記無線クライアントをバーチャルＬＡＮへ割り当て、前記無線クライアントから送られた各々のデータ・パケットが前記バーチャルＬＡＮの一部分であることを指定するタグで、該データ・パケットを識別し、前記タグに応答するデバイスを使用して前記アクセス特権を適用することを含む、請求項１に記載の方法。
【請求項９】
ステップ（ｄ）が、前記無線クライアントが割り当てられた前記バーチャルＬＡＮを変更することによって、前記無線クライアントへ割り当てられた前記アクセス特権を変更することを更に含む、請求項８に記載の方法。
【請求項１０】
ステップ（ｄ）が、前記タグに応答するデバイスを変更することにより、前記無線クライアントに割り当てられた前記アクセス特権を変更し、異なったアクセス特権を前記無線クライアントへ適用することを更に含む、請求項８に記載の方法。
【請求項１１】
ステップ（ｄ）が、公式のパケット・フィルタリングを使用して前記特権を適用することを含む、請求項１に記載の方法。
【請求項１２】
ステップ（ｃ）が、前記無線ネットワークへ接続されたアクセス・サーバによって実行され、前記アクセス・ポイントが前記アクセス・サーバを回帰的にポーリングして、ステップ（ｃ）が回帰的に実行されるようにする、請求項１に記載の方法。
【請求項１３】
ステップ（ｃ）が回帰的に実行され、前記一連のアクセス特権が前記アクセス・ポイントへ回帰的に送られる、請求項１に記載の方法。
【請求項１４】
ステップ（ｄ）が、前記所定の時間の間、前記アクセス特権を前記無線クライアントへ適用することを含む、請求項１に記載の方法。
【請求項１５】
ステップ（ｄ）が、前記所定の時間が経過した後、追加のアクションを実行することを含む、請求項１４に記載の方法。
【請求項１６】
ステップ（ｄ）が、時刻に基づいて前記アクセス特権を前記無線クライアントへ適用することを含む、請求項１に記載の方法。
【請求項１７】
無線クライアントとアクセス・ポイントとの間で送られる無線周波信号を介してネットワークへ接続されている無線クライアントのロケーションに基づいて無線ネットワーク内でアクセス特権を制御する装置であって、
前記無線周波信号の測定された特性に基づいて前記無線クライアントの前記ロケーションを計算するロケーション・システムと、
前記無線クライアントを識別する情報を受け取るアクセス・サーバと、
前記無線クライアントの前記ロケーションおよび前記識別情報に基づいて一連のアクセス特権を生成するポリシー・サーバと、
前記アクセス特権を前記無線クライアントへ適用するメカニズムと
を備える装置。
【請求項１８】
前記ロケーション・システムが、ＲＦ指紋方法を使用して前記無線クライアントの前記ロケーションを計算する手段を備える、請求項１７に記載の装置。
【請求項１９】
前記アクセス・サーバが、前記アクセス・ポイントから前記無線クライアントのデバイスＩＤを受け取る手段を備える、請求項１７に記載の装置。
【請求項２０】
前記デバイスＩＤがデバイスＭＡＣアドレスである、請求項１９に記載の装置。
【請求項２１】
前記アクセス・サーバが、前記アクセス・ポイントから、前記アクセス・ポイントのアクセス・ポイントＩＤを受け取る手段を備える、請求項１９に記載の装置。
【請求項２２】
前記ポリシー・サーバが、前記無線クライアントの前記ロケーションおよび前記識別情報を使用して特権データベースから前記一連のアクセス特権を読み出す手段を備える、請求項１７に記載の装置。
【請求項２３】
アクセス・ポイントがＲＡＤＩＵＳサーバと対話して前記ネットワークへのアクセスを取得し、前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、前記アクセス特権を前記ＲＡＤＩＵＳサーバへ送る手段、および前記ＲＡＤＩＵＳサーバを使用して前記アクセス・ポイントに前記特権を適用させる手段を備える、請求項１７に記載の装置。
【請求項２４】
アクセス特権を無線クライアントへ適用する前記メカニズムが、
前記無線クライアントをバーチャルＬＡＮへ割り当てる手段と、
前記データ・パケットが前記バーチャルＬＡＮの一部分であることを指定するタグで、前記無線クライアントから送られた各々のデータ・パケットを識別する手段と、
前記タグに応答するデバイスを使用して前記アクセス特権を適用する手段と
を備える、請求項１７に記載の装置。
【請求項２５】
前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、更に、前記無線クライアントが割り当てられた前記バーチャルＬＡＮを変更することによって、前記無線クライアントへ割り当てられた前記アクセス特権を変更する手段を備える、請求項２４に記載の装置。
【請求項２６】
前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、更に、前記タグに応答するデバイスを変更することによって、前記無線クライアントへ割り当てられた前記アクセス特権を変更し、異なったアクセス特権を前記無線クライアントへ適用する手段を備える、請求項２４に記載の装置。
【請求項２７】
前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、公式のパケット・フィルタリングを使用して前記特権を適用する手段を備える、請求項１７に記載の装置。
【請求項２８】
アクセス・ポイントが前記アクセス・サーバを回帰的にポーリングし、前記無線クライアントの前記ロケーションおよび前記識別情報に基づいて一連のアクセス特権を前記ポリシー・サーバに生成させる、請求項１７に記載の装置。
【請求項２９】
前記ポリシー・サーバが、前記無線クライアントの前記ロケーションおよび前記識別情報に基づいて一連のアクセス特権を回帰的に生成し、生成された一連のアクセス特権が前記アクセス・ポイントへ回帰的に送られる、請求項１７に記載の装置。
【請求項３０】
前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、所定の時間の間、前記アクセス特権を前記無線クライアントへ適用する手段を備える、請求項１７に記載の装置。
【請求項３１】
前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、前記所定の時間が経過した後、追加のアクションを実行する手段を備える、請求項３０に記載の装置。
【請求項３２】
前記アクセス特権を前記無線クライアントへ適用する前記メカニズムが、前記時刻に基づいて前記アクセス特権を適用する手段を備える、請求項１７に記載の装置。
【請求項３３】
無線クライアントとアクセス・ポイントとの間で送られる無線周波信号を介してネットワークへ接続された無線クライアントのロケーションに基づいて無線ネットワーク内でアクセス特権を制御する装置であって、
前記無線周波信号の測定された特性に基づいて前記無線クライアントの前記ロケーションを計算する手段と、
前記無線クライアントを識別する情報を受け取る手段と、
前記無線クライアントの前記ロケーションおよび前記識別情報に基づいて一連のアクセス特権を生成する手段と、
前記アクセス特権を前記無線クライアントへ適用する手段と
を備える装置。
【請求項３４】
前記無線クライアントの前記ロケーションを計算する手段が、ＲＦ指紋方法を使用して前記無線クライアントの前記ロケーションを計算する手段を備える、請求項３３に記載の装置。
【請求項３５】
無線クライアントとアクセス・ポイントとの間で送られる無線周波信号を介して前記ネットワークへ接続された無線クライアントのロケーションに基づいて無線ネットワーク内でアクセス特権を制御するコンピュータ・プログラムプロダクトであって、コンピュータ読み取り可能プログラム・コードを有するコンピュータ使用可能メディアを備え、前記メディアが、
前記無線周波信号の測定された特性に基づいて前記無線クライアントの前記ロケーションを計算するプログラム・コードと、
前記無線クライアントを識別する情報を受け取るプログラム・コードと、
前記無線クライアントの前記ロケーションおよび前記識別情報に基づいて一連のアクセス特権を生成するプログラム・コードと、
前記アクセス特権を前記無線クライアントへ適用するプログラム・コードと
を含むコンピュータ・プログラムプロダクト。
【請求項３６】
前記無線クライアントの前記ロケーションを計算する前記プログラム・コードが、ＲＦ指紋方法を使用して前記無線クライアントの前記ロケーションを計算するプログラム・コードを備える、請求項３５に記載のコンピュータ・プログラムプロダクト。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は無線ネットワークに関し、更に具体的には、ネットワークへのアクセスを試みるかネットワークに接続されているが、ステータスを変更する無線クライアントのアクセス特権を制御することに関する。
【背景技術】
【０００２】
複数のコンピュータを相互にリンクする無線ネットワークは珍しくなくなり、そのようなネットワークを実現する技術は急速に成長しつつある。そのようなネットワーキング技術の一般の名前は、「無線ネットワーング」、「ＷｉＦｉ」、または「８０２．１１ネットワーキング」である。無線ネットワーキングの大きな利点は簡潔性である。なぜなら、それは物理配線を必要としないで家庭またはオフィスの任意の場所でコンピュータを接続可能にし、それによってコンピュータを移動性にするからである。「無線クライアント」と呼ばれるコンピュータは、約１００フィートの距離まで届くブロードキャスト無線信号を使用してネットワークへ接続する。
【０００３】
無線ネットワークは、一般的に、米国電気電子学会（ＩＥＥＥ）によって公表された幾つかの標準の１つによって支配される。基本的標準は、８０２．１１標準と呼ばれ、無線ネットワークをカバーする。この標準は、ａ、ｂ、およびｇの表記のラベルの付いた幾つかの異なったバージョンを有する。異なった標準バージョンは幾つかの点で異なる。異なる点の中には、ブロードキャスト信号周波数、伝送速度、およびデータ暗号化手法が含まれる。たとえば、市場に現れた最初の無線ネットワーキング・システムは、８０２．１１ｂ標準に従って構成された。８０２．１１ｂ標準に準拠する機器は２．４ＧＨｚで伝送し、１秒当たり１１メガビットまでのデータ伝送速度を処理することができ、「相補型暗号鍵（ｃｏｍｐｌｅｍｅｎｔａｒｙ  ｃｏｄｅ  ｋｅｙｉｎｇ）」と呼ばれるデータ暗号化手法を使用する。次に、８０２．１１ａ標準が現れた。この標準に準拠する機器は５ＧＨｚで動作し、１秒当たり５４メガビットまで処理することができ、「直交周波数分割多重（ｏｒｔｈｏｇｏｎａｌ  ｆｒｅｑｕｅｎｃｙ−ｄｉｖｉｓｉｏｎ  ｍｕｌｔｉｐｌｅｘｉｎｇ）（ＯＦＤＭ）」と呼ばれるデータ暗号化手法を使用する。８０２．１１ｇは８０２．１１ａ標準および８０２．１１ｂ標準の特徴を有し、準拠する機器は２．４ＧＨｚで動作するが、１秒当たり５４メガビットのデータ伝送速度を有し、ＯＦＤＭ暗号化を使用する。
【０００４】
無線通信は、通常、ローカル通信ネットワークを介してローカル・エリアで起こるように設計される。そのようなローカル・エリアは、建物、建物内のエリア、幾つかの建物を含むエリア、屋外エリア、または屋内および屋外エリアの組み合わせであることもある。しかし、無線周波信号のブロードキャスト性質に起因して、ローカル・エリアの外にいる人は、しばしばこの信号を受信することができ、したがって、ネットワークと通信することができる。多くの環境において、ネットワーク上の情報は秘密であり、許可されていない人がネットワークに接続できることは重大な問題である。
【０００５】
無線ネットワークのセキュリティを向上する一般的な手法は、無線周波信号を介してブロードキャストされる情報をＷＥＰ鍵で暗号化することである。ＷＥＰとは、「有線同等プライバシー（Ｗｉｒｅｄ  Ｅｑｕｉｖａｌｅｎｔ  Ｐｒｉｖａｃｙ）」の略語であり、８０２．１１標準の一部分である暗号化標準である。他の手法は、モバイル機器の物理的ロケーションを追跡し、機器が所定のローカル・エリアの外へ出る場合、それをネットワークから切り離すことである。
【０００６】
移動無線デバイスとローカルエリアネットワーク（ＬＡＮ）との間の通信は、多くの場合、ＬＡＮへ取り付けられた「アクセス・ポイント」（ＡＰ）のようなデバイスを使用して実行される。ＡＰは無線デバイス用の通信ポートであり、無線クライアントとの間で無線周波信号をブロードキャストし、また受信する。ＡＰは、無線デバイスから受信したメッセージを、ＬＡＮを介して、他のサーバ、コンピュータ、アプリケーション、サブシステムまたはシステムへ適切に渡す。典型的には、ＡＰは１つまたは複数のネットワーク・サーバへ結合され、これらのサーバはメッセージ・トラフィックの流れを管理する。アプリケーション・サーバはネットワーク・サーバへ結合されるか、ネットワーク・サーバを介してアクセスされて、データまたは典型的なアプリケーション機能を無線デバイスへ提供することもある。
【０００７】
定義されたローカル・エリア内での検出およびロケーションの決定は、しばしば一連のセンサが取り付けられたＬＡＮを使用して実行される。そのようなローカルエリアネットワークを使用して無線クライアントの物理的ロケーションを決定するため、ローカルエリアネットワークは複数の無線周波信号センサを備えている。これらのセンサはアクセス・ポイントに組み込まれるか、アクセス・ポイントから分離されたものであってよい。「ＲＦ指紋」方法と呼ばれる手法を使用して、先ず物理的ローカル・エリアのディジタル定義が作られ、次に統計的信号強度モデルが作られて、検出および追跡が起こるコンテキスト（ｃｏｎｔｅｘｔ）が提供される。次に、センサで測定された実際の無線周波信号の強度がモデルと比較され、各々のデバイスの物理的ロケーションが計算される。
【０００８】
ローカル・エリアのディジタル定義は、様々な障害物を考慮に入れて定義された一連の領域、エリア、またはロケーション（集合的に「ロケール」と呼ばれる）から構成される。一旦、ローカル・エリアのディジタル形式が形成されると、ロケールが定義され、次に統計的信号強度モデルが定義される。
【０００９】
定義された物理空間のディジタル形式を使用して、信号強度モデルを決定することができる。信号強度モデルは、ローカル・エリア内の各々のアクセス・ポイントについて、障害物およびアクセス・ポイントの配置を考慮に入れて、エリア内で送信している移動デバイスから予想される信号強度受信パターンを定義する。信号強度モデルは、物理空間内にセンサを実際に設置し、送信している無線クライアントがエリア内を移動するときにセンサで受信される信号の強度を測定することによって作成可能である。代替として、シミュレートされたアクセス・ポイントおよびシミュレートされた無線クライアント表示度数を使用して、信号強度モデルを生成することができる。
【００１０】
信号強度モデルが決定された後、無線クライアントのロケーションは、デバイスがローカル・エリア内で移動するか、その中に存在するときのデバイスから実際の信号強度データを収集し、信号強度モデルによって予測された値と実際のデータとを比較することによって決定可能である。ＲＦ指紋プロセスは特許文献１で詳細に説明される。この特許文献１の内容は、参照によりその全体をここに組み込まれる。
【００１１】
代替として、他のロケーション手法を使用することができる。たとえば、幾つかの公知のロケーション手法は、無線デバイスからの信号がＡＰに到着する時間または無線デバイスからの信号がＡＰに到着する時間の差を使用して無線デバイスのロケーションを計算する。たとえば、そのようなシステムは特許文献２および３に説明されている。
【特許文献１】米国特許第６，６７４，４０３号明細書
【特許文献２】米国特許第６，８０１，７８２号明細書
【特許文献３】米国特許第６，７５６，９４０号明細書
【発明の開示】
【発明が解決しようとする課題】
【００１２】
一旦、無線クライアントが位置決めされると、そのユニットがローカル・エリアの外側にあれば、アクセスは、通常、拒否される。このことによりセキュリティが提供され、許可されていないユーザがネットワークへ接続するか接続を維持することを防止するが、余り順応性はない。なぜなら、システムは、ネットワークへ適切に接続している許可されたユーザを区別できないからである。
【課題を解決するための手段】
【００１３】
本発明の原理によれば、デバイスをネットワークへ接続するアクセス・ポイントは、規準セット、たとえば、ネットワーク・アクセスを要求するデバイスのＩＤおよび物理的ロケーション、デバイスをネットワークへ接続するアクセス・ポイント、およびユーザ資格に基づいて、デバイスへ与えられるアクセス特権を決定する。規準セットは、ネットワーク・アクセス特権を決定するために使用される。ネットワーク・アクセス特権は、ネットワークの異なった部分へのアクセス（またはアクセス禁止）、特定のローカル・ホストへのアクセス、インターネットへのアクセス、インターネット上の特定のホストへのアクセス、インターネット上の特定のサービスへのアクセス（ポートまたは公式のプロトコル解析によってフィルタされる）、帯域幅使用上の制限、サービス特典または制限の特定の質でトラフィックをフラグ付けすること、または任意の数の他のネットワーク構成パラメータを含むことができる。
【００１４】
デバイスが、規準セット内のいずれかの規準を変更するとき、ネットワーク・アクセス特権は、適切な仕方で同時に変更される。同様に、その規準セットのネットワーク・アクセス特権が変更されると、その規準セットを有するデバイスのネットワーク・アクセス特権も、それに従って変更される。幾つかの場合、デバイスのロケーションを正確に決定するのに十分な情報が収集されなかったとき、デバイスはデフォルトのネットワーク・アクセス特権を割り当てられる。
【００１５】
１つの実施態様において、アクセス・ポイントはネットワーク上のアクセス・サーバにコンタクトし、アクセスを要求するデバイスへ提供されるべきネットワーク・アクセス特権を要求する。他の実施態様において、アクセス・サーバは、アクセス・ポイントによるポーリングに応答して、または非同期的に、ネットワーク・アクセス特権情報を全てのアクセス・ポイントへ公開する。
【００１６】
他の実施態様において、バーチャル・ローカルエリアネットワーク（ＶＬＡＮ）がネットワーク上に確立され、各々のデバイスが特定のＶＬＡＮへ割り当てられる。次に、ネットワーク・アクセス特権を特定のＶＬＡＮへ割り当てることができる。
【００１７】
更に、他の実施態様において、特定のＶＬＡＮに関連したＩＤコードで各々のデータ・パケットまたはフレームをタグ付けすることによって、ＶＬＡＮが作成される。特別のアクセス・ポイントが使用され、このアクセス・ポイントがタグを検出し、ＶＬＡＮ  ＩＤコードを使用して、ＶＬＡＮ、したがってユーザへ与えられるネットワーク・アクセス特権を決定する。
【００１８】
更に、他の実施態様において、データ・パス内の他のデバイス、たとえばスイッチ、ルータ、またはゲートウェイによって、ネットワーク・アクセス制限を適用することができる。更に、公式のパケット・フィルタによって、制限を適用することもできる。
【００１９】
本発明の上記および更なる利点は、添付の図面と一緒に下記の説明を参照することによって更に理解されるであろう。
【発明を実施するための最良の形態】
【００２０】
図１は、典型的な無線ネットワーク１００のブロック図である。２つの無線クライアント１０２および１０４が示される。無線クライアント１０２および１０４はアクセス・ポイントによってネットワーク１００へリンクされる。これらのアクセス・ポイントの内、２つのアクセス・ポイント１０８および１１２が図で示される。当業者は、少なくとも１つのアクセス・ポイントが必要であることを理解するであろうが、典型的なネットワークは多くのアクセス・ポイントを有するであろう。
【００２１】
アクセス・ポイント１０８および１１２はネットワーク１１６へ接続される。ネットワーク１１６はＬＡＮ、たとえばＥｔｈｅｒｎｅｔ（登録商標）ネットワーク、または他のタイプのネットワークであってよい。ネットワーク１１６は、更に、それに接続された他のデバイス、たとえばサーバ１１８および１２０を有してもよい。ネットワーク１１６は、更に、ルータ１１４を介して他のネットワーク、たとえばＷＡＮまたはインターネットへ接続されてもよい。
【００２２】
１つまたは複数の信号センサも、ネットワーク１１６へ接続されてよい。これらの信号センサの内、２つのセンサ１０６および１１０が示される。これらのセンサは、無線クライアント１０２および１０４によって生成されたＲＦ信号の信号強度を測定し、通常のロケーション追跡システム、たとえば前述したＲＦ指紋システムによって使用される。当技術分野で知られるように、センサ１０６および１１０は、アクセス・ポイント１０８および１１２へ組み込まれてよい。ロケーション追跡システムは、典型的には、サーバの１つ、たとえばサーバ１１８で動作する。本発明の原理に従って、サーバ１１８は、更に、アクセス制御システムを組み込まれてよい。
【００２３】
１つの実施態様において、アクセス制御システムは、無線クライアント、たとえばクライアント１０２が無線アクセス・ポイント、たとえばアクセス・ポイント１０８へ接続したときに動作する。次に、アクセス・ポイント１０８は、アクセス制御サーバ１１８にコンタクトし、クライアント１０２へ提供されるべきネットワーク・アクセス特権に関する情報を要求する。次に、サーバはデータベースにアクセスして、クライアントを識別する情報、デバイス・ロケーション、クライアントが接続されるアクセス・ポイント、および他のユーザ認証資格に基づいてクライアントへ割り当てられる特権を読み出す。たとえば、１つの実施態様において、無線クライアント・デバイスは、デバイス・メディア・アクセス制御（ＭＡＣ）アドレスをクライアント・デバイスＩＤとして使用することによって識別可能である。同様に、アクセス・ポイントは、そのネットワークＩＰアドレスによって識別される。追加の情報は、ユーザ資格を含むことができる。この情報は、要求と一緒にアクセス制御サーバへ送られる。代替として、無線クライアントを識別する情報は、無線クライアントからアクセス・ポイントを介してアクセス制御サーバへ直接送られてよい。
【００２４】
アクセス・システムを組み込まれたサーバ１１８の更に詳細な図は図２で示され、このシステムによって実行されるプロセスは図３で示される。プロセスは、ステップ３００で始まり、ステップ３０２へ進む。ステップ３０２において、無線クライアントは無線アクセス・ポイントからネットワークへのアクセスを要求する。無線アクセス・ポイントは、アクセス・システムからネットワークへのアクセスを要求し、具体的にはステップ３０４で示されるように、アクセス・サーバ２１０からネットワーク２０８を介して要求する。
【００２５】
１つの実施態様において、アクセス・サーバ２１０はＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅｓ）サーバである。ＲＡＤＩＵＳサーバは、要求／応答プロセスを定義する公知のＲＡＤＩＵＳアクセス制御プロトコルに従ってアクセス制御サービスを実行する。ＲＡＤＩＵＳプロトコルは公知であり、コメント要求（Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔ（ＲＦＣ））２８６５におけるインターネット・エンジニアリング・タスク・フォース（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ（ＩＥＴＦ））によって定義され、ＩＥＴＦによって刊行された追加文書の中で拡張されている。この実施態様において、アクセス・サーバ２１０は、ＲＡＤＩＵＳセキュリティ・サーバとして働く。アクセス・ポイントが、無線クライアントのためにネットワーク・アクセスの要求を行うとき、アクセス・サーバ２１０も、無線クライアントおよびアクセス・ポイントを識別する情報をアクセス・ポイントから受け取る。この情報を使用して、アクセス・サーバ２１０は、ステップ３０６で記述されるように、ポリシー・サーバ２０４に相談する。ポリシー・サーバ２０４は、その無線クライアントへ割り当てられるネットワーク・アクセス特権を生成する。次に、ＲＡＤＩＵＳプロトコルに従って、アクセス・サーバ２１０は、アクセス許可またはアクセス拒否の応答をアクセス・ポイントへ返す。もしアクセス許可の応答が返されるならば、アクセス・サーバはポリシー・サーバによって返された特権情報を使用して、無線クライアントへ適用される追加の制限または特権を指定する。特定のデバイスへのアクセス制限は、そのデバイスのメディア・アクセス制御（ＭＡＣ）アドレスを使用して実現される。アクセス・ポイントに基づく制限は、アクセス・ポイントＩＤコードを使用する。ユーザ資格制限は、ＩＥＥＥ８０２．１Ｘ標準上に構築されたＩＥＥＥ８０２．１１ｉ標準として知られる標準のセットで指定されたユーザ資格に基づく。
【００２６】
前述したように、アクセス・サーバ２１０は、同じくアクセス・サーバ１１８の中で実行しているポリシー・サーバ２０４に相談する。ポリシー・サーバ２０４が、アクセス・サーバ２１０から、特定の無線クライアントのためにネットワーク・アクセス特権情報を求める要求を受け取るとき、ステップ３０８で記述されるように、ポリシー・サーバは、クライアントを識別するため、アクセス・サーバ２１０を介してアクセス・ポイントから受け取られたクライアント・デバイスＩＤを使用して、矢印２０２によって概略的に示されるように、サーバ１１８の中で実行しているロケーション・システム２００からロケーション情報を要求する。具体的には、前述したように、ロケーション・システム２００は、信号強度センサから収集された情報を使用して、システム内の無線クライアントのロケーションを計算する。
【００２７】
ロケーション・システム２００によって返されたロケーション情報は、幾つかの形式の１つを取ってよい。１つの形式において、ロケーション情報は、他のラベルを付けられたロケーションと階層的、隣接的、および幾何学的関係を有するラベルである。たとえば、「ゾーン」と呼ばれる２つの非常に広いロケーションは、「内側」ゾーンおよび「外側」ゾーンと呼ばれることもある。「内側」ゾーンは、サブゾーン、たとえば「エンジニアリング」、「エグゼクティブ」、および「セールス」から構成されてよい。「エンジニアリング」サブゾーンおよび「セールス」サブゾーンは隣接してよいが、「エンジニアリング」サブゾーンは「エグゼクティブ」サブゾーンに隣接してはならない。更に、各々のロケーションは、空間の異なったマップまたは視界に対応する１つまたは複数の座標フレーム（「ビュー」と呼ばれる）の中で、指定されたジオメトリを関連づけられてよい。ロケーション情報は、更に、最小限としてｘｙｚの座標セットの形式を取り、更に理論的に、この形式は他の自由度を含んでよい。ロケーション情報は、更に、複数のラベルまたは座標および関連する信頼度から構成されてよい。たとえば、「内側」：９０％、「外側」：１０％、「エンジニアリング」：７０％、および「セールス」：３０％である。この配列では、ロケーションの階層的性質に起因して、信頼度の合計は、階層内の同じレベルでのみ１００％となる。ロケーション情報は、矢印２１２によって示されるように、ロケーション・システム２００からアクセス・サーバ２０４へ返される。
【００２８】
次に、ステップ３１０において、クライアント・デバイスＩＤ、デバイス・ロケーション、クライアントが接続されたアクセス・ポイント、およびアクセス・ポイントによって提供された他のユーザ認証資格を使用して、ポリシー・サーバ２０４は特権データベース２０６にアクセスし、アクセス・ポイントによって提供された情報の組み合わせに関連づけられた特権セットを読み出す。たとえば、ロケーション情報は、特定の構成マッピングによってアクセスを制御するように使用されてよい。たとえば、「外側」ゾーンに位置するクライアント・デバイスはアクセスを付与されず、「内側」ゾーンに位置するクライアント・デバイスは「標準アクセス」を付与され、「エンジニアリング」サブゾーンに位置するクライアント・デバイスは「特権アクセス」を付与される。
【００２９】
代替として、ロケーション情報は、権利が同時に付与および撤回されるように適用されてよい。たとえば、クライアント・デバイスは、最初は完全に制限されて特権を有せず、したがってネットワーク上のサービスへアクセスすることができない。もし同じデバイスが「内側」ゾーンへ移動するならば、それは権利Ａ、Ｂ、およびＣを付与される。後で、もしそのデバイスが「セールス」サブゾーンへ移動するならば、そのデバイスは権利Ｄを付与され、権利Ａが撤回される。更に、その後で、もしデバイスが「エンジニアリング」サブゾーンへ移動するならば、そのデバイスは権利Ｅを付与され、権利Ｂが撤回される。他方、もしそのデバイスが「エグゼクティブ」サブゾーンに位置していれば、それは権利Ｄ、Ｆ、およびＧを付与され、権利ＡおよびＣが撤回される。
【００３０】
更に、ポリシーは、ロケーションに関する「２次」情報に基づいて適用されてよい。たとえば、クライアント・デバイスは、前に定義された特権グループ内のデバイスと同じロケーションに存在する場合にのみネットワーク・アクセスを付与されてよく、または、デバイスは、過去の２４時間、特定のロケーションに存在していた場合にアクセスを付与されてよい。最後に、これらの場合の各々において、適用されるポリシーは、外部システムへの質問によって決定されてよい。
【００３１】
クライアント・デバイスＩＤ、デバイス・ロケーション、アクセス・ポイントＩＤ、およびユーザ認証資格の組み合わせに加えて、広範な他の資格を適用することができる。そのような資格には、時刻、前に訪問したロケーション、同じロケーションにおける他の特定ユーザの存在、同じロケーション内のユーザの数、他の固定または関連ロケーション内のユーザの存在または数、通信のデータレート、同じアクセス・ポイント上の他のユーザの存在または不在、ユーザとアクセス・ポイントとの相対ロケーション、および上記規準の並べ換えが含まれる。更に、特権および制限が有効である時間の間、特権および制限が適用されてよい。たとえば、特権および制限の所与のセットは、次の１０分間に適用されてよい。この時間が経過した後、ポリシー・サーバは、実行可能な追加アクションを指定することができる。たとえば、ポリシー・サーバは、この時間が経過した後、ネットワーク接続が終了するか、無線クライアントが追加のアクセス時間を要求しなければならないことを指定してよい。
【００３２】
データベース２０６から読み出された特権セットは、無線クライアントへ適用される様々な特権または制限を指定する。これらの特権および制限は、（１）ネットワーク２０８の異なった部分、（２）ネットワーク２０８上の特定のホスト、（３）インターネット、（４）インターネット上の特定のホスト、（５）インターネット上の特定のサービス（ポートによって、または公式のプロトコル解析によってフィルタされる）へのアクセスの付与または拒否を含むことができる。他の制限は、帯域幅使用上の制限を含むことができる。他の動作も実行可能である。たとえば、サービス制限または特典の特定の質または任意の数の他のネットワーク構成パラメータでトラフィックをフラグ付けすることができる。特権および制限は、典型的には、無線クライアント・デバイスとそれが接続されるネットワークとの間のデータ・パス内のコンポーネントによって適用される。このコンポーネントは、典型的には、アクセス・ポイント、スイッチ、またはルータであろう。インライン・コンポーネントは、特権セットに基づき、各々のパケットを回送、省略、リダイレクト、修正、または応答することによって特権および制限を適用する。
【００３３】
ＲＡＤＩＵＳサーバを使用する前述の実施態様において、一旦、ポリシー・サーバ２０４が特権データベース２０６から特権セットおよび制限を取得すると、ポリシー・サーバ２０４はステップ３１２でアクセス情報をアクセス・サーバ２１０へ返す。次に、ステップ３１４で、アクセス・サーバ２１０は、クライアント・デバイスＩＤによって識別された無線クライアントへ制限を適用する。次に、プロセスはステップ３１４で終了する。
【００３４】
他の実施態様において、アクセス制限および特権は、ＲＡＤＩＵＳアクセス・サーバ２１０を使用し、各々のクライアント・デバイスをバーチャル・ローカル・ネットワーク（ＶＬＡＮ）へ割り当てることによって、ネットワーク全体に亘って適用される。ＶＬＡＮはＶＬＡＮタグ付けを使用して確立される。更に具体的には、特定の制限および特権セットがＶＬＡＮと関連づけられ、前述したインライン・コンポーネントが、そのＶＬＡＮ上の全てのデバイスへ特権および制限を提供するようにプログラムされる。この構成を使用すると、特定の特権および制限を実現するためにプログラムされたＶＬＡＮへクライアントを割り当てることによって、その制限および特権セットがそのクライアントへ適用される。
【００３５】
ＶＬＡＮは、そのＶＬＡＮへ割り当てられたデバイスによって生成された各々のデータ・パケットを、ＶＬＡＮを識別する情報でタグ付けすることによって確立可能である。ＶＬＡＮタグ付けは、８０２．１ｑ標準として知られるＩＥＥＥ標準に準拠して実行可能である。この標準は、元来、ブリッジされたＬＡＮインフラストラクチャ内でＶＬＡＮトポロジの定義、動作、および管理を可能にするＶＬＡＮブリッジの動作を定義するために書かれた。具体的には、この標準は、Ｅｔｈｅｒｎｅｔ（登録商標）フレームの中へ挿入可能なＶＬＡＮ情報を含むタグ・フィールドの内容を指定する。もしポートが８０２．１ｑ準拠デバイス（たとえば、ネットワーク・スイッチまたはルータ）を取り付けられていれば、これらのタグ付けされたフレームは、ＶＬＡＮメンバーシップ情報、たとえばＶＬＡＮを識別するＩＤを搬送することができる。これは、タグ付けされたフレームがデバイスを通ることを許可または拒否させるによって、そのＶＬＡＮに関連づけられた制限をデバイスに適用させる。
【００３６】
このＶＬＡＮタグ付け実施態様によれば、ステップ３１０において、ポリシー・サーバは特権データベースからＶＬＡＮタグを読み出し、ステップ３１２および３１４において、このＶＬＡＮタグがアクセス・サーバ２１０へ提供される。アクセス・サーバ２１０は、クライアント・デバイスが接続されたアクセス・ポイントに、そのデバイスから送られた全てのデータ・パケットへそのＶＬＡＮタグを適用させる。次に、前述したように、ＶＬＡＮタグは、他のインライン・コンポーネントに、タグ付けされたフレームがコンポーネントを通過することを許可または拒否することによってポリシーを適用させる。デバイスが異なったロケーションへ移動するとき、そのデバイスは、ＶＬＡＮタグを変更することによって新しいＶＬＡＮへ割り当てられてよい。この新しいＶＬＡＮは、異なった特権および制限を有してよい。
【００３７】
典型的には、クライアント・デバイスが１つのＶＬＡＮから他のＶＬＡＮへ変化するとき、新しいネットワーク・アドレスがクライアント・デバイスへ割り当てられなければならない。ネットワーク・アドレスのこの変化を避けるため、他の実施態様では、各々のクライアント・デバイスを、そのデバイスに専用のＶＬＡＮへ割り当てることも可能である。こうして、デバイスの特権および制限は、そのデバイスに専用のＶＬＡＮへ割り当てられた特権および制限を変更することによって変更される。
【００３８】
更なる他の実施態様において、特権情報が適用された後、各々のアクセス・ポイントは、アクセス・サーバを定期的にポーリングして、適切なアクセス許可が依然として存在するかを検証する。したがって、デバイスが、そのユーザ資格、そのロケーション（移動によって）、またはそのアクセス・ポイントを変更するとき、アクセス制限を適切に変更することができる。同様に、もしデバイス、ユーザ、ロケーション、およびアクセスの組み合わせについてポリシーが変化するならば、制限はそれに合致するように変化する。幾つかの場合、デバイスのロケーションを正確に決定するための十分な情報が収集されなかったとき、デバイスは、許可の一連のデフォルトを一時的に割り当てられる。
【００３９】
更に追加の実施態様において、アクセス・サーバは、特権情報を全てのアクセス・ポイントへ公開するか、アクセス特権への変更をアクセス・ポイントへ非同期的に通知することができる。他の実施態様において、アクセス・ポイントまたは他のゲートウェイ・デバイスは、サーバ内で実行しているロケーション・システムに代わって無線クライアントのロケーションを決定することができる。更に、制限を適用するアクセス・ポイントに代わって、データ・パス内の任意のデバイス、たとえばスイッチ、ルータ、またはゲートウェイがアクセスを制御することができる。更に、８０２．１ｑ  ＶＬＡＮタグを介してネットワーク制限を適用する代わりに、公式のパケット・フィルタを介して制限を適用することができる。
【００４０】
前述した実施態様のソフトウェア実現方法は、一連のコンピュータ命令を含んでよい。これらのコンピュータ命令は、有形のメディア、たとえばコンピュータ読み取り可能メディア、たとえばディスケット、ＣＤ−ＲＯＭ、ＲＯＭメモリ、または固定ディスク上に固定されるか、モデムまたは他のインタフェース・デバイスを介してメディア上をコンピュータ・システムへ伝送可能である。メディアは、非制限的に光学またはアナログ通信線を含む有形メディアであることができ、または非限定的にマイクロ波、赤外線、または他の伝送技術を含む無線技術で実現されてよい。それはインターネットであってもよい。一連のコンピュータ命令は、本発明に関して本明細書で前述した機能の全部または一部を具体化する。当業者は、そのようなコンピュータ命令が、多くのコンピュータ・アーキテクチャまたはオペレーティング・システムと一緒に使用される多数のプログラミング言語で書かれ得ることを理解するであろう。更に、そのような命令は、非限定的に半導体、磁気、光学、または他のメモリ・デバイスを含む現在または将来の任意のメモリ技術を使用して記憶されてよく、または非限定的に光学、赤外線、マイクロ波、または他の伝送技術を含む現在または将来の任意の通信技術を使用して伝送されてよい。そのようなコンピュータ・プログラムプロダクトは、印刷または電子文書が添付された取り外し可能メディア、たとえばシュリンク・ラップ・ソフトウェア、コンピュータ・システムへの事前ロード、たとえばシステムＲＯＭまたは固定ディスクとして配布されてよく、またはネットワーク、たとえばインターネットまたはワールド・ワイド・ウェブ上をサーバまたは電子掲示板から配布されてよい。
【００４１】
本発明の例示的実施態様が開示されたが、本発明の趣旨および範囲から逸脱することなく、本発明の利点の幾つかを達成する様々な変更および修正が可能であることは、当業者に明らかであろう。たとえば、他の実施態様において、無線クライアントのロケーションを計算して特権を付与するため、他のメカニズムが使用されてよいことは、当業者に明らかであろう。更に、例としてクライアント・サーバ・ネットワークが示されたが、本発明の原理を使用して、通常のメッシュ・スタイル・ネットワークでネットワーク・トラフィックにアクセス・ポリシーを課すことも可能である。他の様相、たとえば特定のプロセス・フロー、例示されたステップの順序、および発明的概念への他の修正は、添付のクレイムによってカバーされることが意図されている。
【図面の簡単な説明】
【００４２】
【図１】無線ネットワーク内の典型的なコンポーネントを示す概略ブロック図である。
【図２】図１のシステム内のサーバを更に詳細に示した概略ブロック図であって、ロケーション・システムおよびアクセス・サーバが組み込まれた図である。
【図３】本発明の原理に従って無線クライアントへネットワーク・アクセス特権を適用する例示的プロセスのステップを示すフローチャートである。
【符号の説明】
【００４３】
１００  ネットワーク
１０２  無線クライアント
１０４  無線クライアント
１０６  センサ
１０８  アクセス・ポイント
１１０  センサ
１１２  アクセス・ポイント
１１４  ルータ
１１６  ネットワーク
１１８  サーバ
１２０  サーバ
２００  ロケーション・システム
２０２  矢印
２０４  ポリシー・サーバ
２０６  特権データベース
２０８  ネットワーク
２１０  アクセス・サーバ
２１２  矢印
【図１】
2006304285.tif 000003
【図２】
2006304285.tif 000004
【図３】
2006304285.tif 000005
【外国語明細書】
2006304285000001.pdf