(57)【要約】  本発明は、インターネット等のワイドエリアのレイヤー３ネットワークを横切って安全な連結性を企業レイヤー２ネットワークに与えることによってセキュリティをエンタープライズネットワークからワイドエリアネットワークに拡張するシステムと方法を含む。【選択図】図１【特許請求の範囲】
【請求項１】
エンタープライズネットワークと該エンタープライズネットワークにアクセス可能なワイドエリアネットワーク上で通信しているユーザーとの間の安全な通信を容易にする方法であって、
第１のプロトコル内で、一組のカプセル化したパケットを発生し、該一組のカプセル化したパケットを発生することがさらにカプセル化することを含み、プロトコルの階層内で第２のプロトコルが第１のプロトコルの下にあり、データパケットがユーザーに起因し、ユーザー起因のデータパケットが第２のプロトコル内で符号化されること；
ワイドエリアネットワーク上でカプセル化したパケットをエンタープライズネットワークに転送すること；
エンタープライズネットワークでカプセル化したパケットを受け取ること；
第２のプロトコル内で符号化されたユーザーに起因するデータパケットを検索するためにカプセル化したパケットのカプセル化を解除すること；
第２のプロトコルを介してエンタープライズネットワークを横切ってユーザーに起因するデータパケットを転送すること；
を含むことを特徴とする方法。
【請求項２】
プロトコルの階層がＩＳＯ階層である請求項１記載の方法。
【請求項３】
第１のプロトコルがレイヤー３プロトコルである請求項１記載の方法。
【請求項４】
第２のプロトコルがレイヤー２プロトコルである請求項３記載の方法。
【請求項５】
ワイヤレスプロトコルを使って、ユーザーがワイドエリアネットワークと通信する請求項４記載の方法。
【請求項６】
ワイヤレスプロトコルがＷｉＦｉである請求項５記載の方法。
【請求項７】
ワイヤレスプロトコルを使って、ユーザーがローカルエリアネットワーク上で通信する請求項１記載の方法。
【請求項８】
ワイヤレスプロトコルがＷｉＦｉである請求項７記載の方法。
【請求項９】
第１のプロトコルが、ＵＤＰ／ＩＰ上で乗るＷｉＦｉ  ＶＰＮプロトコルである請求項１記載の方法。
【請求項１０】
カプセル化したパケットをエンタープライズネットワークに転送することに先がけてカプセル化したパケットを暗号化することを更に含む請求項１記載の方法。
【請求項１１】
カプセル化したパケットを受け取った後、カプセル化したパケットを暗号解読することを更に含む請求項１０記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワーキングのフィールド、特には、ネットワーキングプロトコルと連携して使われたデータ暗号化技術に関する。
【背景技術】
【０００２】
企業は、その従業員のためにエンタープライズネットワークにリモートの連結性を提供することを一般に追求する。例えば、リモートの連結性は、以下の物理的なロケーションで従業員によって使用され得る：
従業員の家
ブランチオフィス
・  ＷＩＳＰ
・  ホテル
・  公衆電話
【０００３】
その問題は、そのリモートの連結性が、使用可能なオーバーレイインフラストラクチャーを必要としていることである。これは、ＩＴスタッフに負担を課し、既存のエンタープライズ（企業）インフラストラクチャー上でメンテナンスと資本支出を増大させ、そして、一般に、彼らの物理的なロケーションに依存している、すなわち、彼らが企業内又は遠くから、エンタープライズネットワークを使うかどうかにかかわらず、コンピュータアクティビティのパターンを変更することを従業員に要求する。さらに、遠隔接続された従業員は、彼らがアクセスすることができるリソースの条件が制限され、；特別な措置がＩＴスタッフによってとられない限り、従業員は企業内に居る時に、しばしば彼らが定期的に使うことができるリソースへのリモートアクセスが拒否される。
【０００４】
エンタープライズネットワークへのリモートアクセスを容易にするために、一般に企業は従業員にＶＰＮサービスを提供する。レイヤー３で動作するＶＰＮは、企業と接続するためにＶＰＮのユーザーが彼らのブロードバンド方式インターネット接続を高速で利用することを可能にする。ＶＰＮは、レイヤー３で動作するので、従業員がインターネットに接続するブロードバンド方式として、ケーブルモデム、ＤＳＬ、固定されたワイヤレス、または他の方法を使うかかと無関係に、それは作動する。
【０００５】
ＶＰＮアプローチについての１つの問題は、ユーザーが企業と遠隔的に接続する時に、企業へのローカルアクティビティの普通のパターンに比べ、異なる作動を採用するという必要条件である。例えば、ローカルユーザーは、イーサネットケーブルによって既存のネットワークに接続するか、８０２．１１の企業ワイヤレスネットワークを使用し得る。しかし、ユーザーが彼らの家や、空港、またはＷｉＦｉホットスポット等の遠隔地にいる時に、彼らは、企業と接続するために彼らのＶＰＮクライアントを起動することが要求される。
【０００６】
システムアドミニストレータ（管理責任者）に対し、ＶＰＮは、一般に、ローカル企業エッジアクセスインフラストラクチャーと独立して配置されるセパレートリモートアクセスインフラストラクチャーに関係している。一般に、ＶＰＮサーバーがレイヤー３連結性だけを提供するので、多くのレガシーレイヤー２アプリケーションはＶＰＮを横切って作動しない。これらのレガシーアプリケーションが、レイヤー３ネットワークを横切り、例えばアプリケーションレイヤーゲートウェイの使用を通して作業することを可能にされることができる間、そのような追加のゲートウェイは、さらにメンテナンスと資本支出をＩＴスタッフに要求する。
【０００７】
企業リソースへの完全なアクセスが遠く離れて使用可能になるように、企業にレイヤー２連結性を提供するために、複数の解決策は存在している。これらの解決策は以下を含む：
・  ダイアルアップ
・  ＤＳＬ
・  ライセンスされたスペクトルの上でのキャリアワイヤレスデータサービス
・  独占的なレイヤー２クライアント
・  ２倍の暗号化で機能するワイヤレスアクセスポイント
【０００８】
レイヤー２連結性を提供するためのダイアルアップＰＯＴＳアクセスはＲＡＳ製品によって提供され得る。しかし、ダイアルアップは、失われた接続のための主体であり、家で電話回線を消費し、帯域幅を制限した。
【０００９】
ＤＳＬＡＮがＤＳＬラインを終了させたものであったと企業が認めているならば、ＤＳＬアクセスは、企業にレイヤー２連結性を提供することができる。しかし、提供する企業のために、ＤＳＬレイヤー２連結性は、かなりの費用に関係し、最も大きなものが従業員から企業にコパーライン（copper lines）を提供している。ＤＳＬアクセスは、キャリアからリースされ得るが、これも高コストに関係している。さらに、ＤＳＬアクセスは、しばしば、従業員のＤＳＬラインとＤＳＬＭとの間で、距離制限(ＤＳＬが一定の距離を越えて動作しないであろうということによる)という理由により、従業員に一般的に提供することができない。
【００１０】
ライセンスされたスペクトルの上のキャリアワイヤレスデータサービスは、スプリントやVerizon（バージョン）などのキャリアによって提供された高速な携帯電話データサービスを含む。これらのサービスは、一般的に使用可能でない。また、キャリアワイヤレスデータサービスは、８０２．１１やイーサネットに比べての帯域幅中で(現在のところ)制限される。
【００１１】
独占的なレイヤー２クライアントは、暗号化されたイーサネット、ＡＴＭ、及び８０２．１１の技術を使って、企業リソースに安全な有線、及びワイヤレスＬＡＮのアクセスを提供するために何年もの間存在していた。これらのアプローチについての問題は、企業に戻るワイドエリアの連結性を提供するために、専用のレイヤー２ワイドエリアネットワーク（ＷＡＮ）に関係している。８０２．１１の技術は、その制限された(３００ｆｔの屋内、１ｋｍのアウトドア)範囲のためワイドエリア上で展開されることができない。イーサネットは、制限されたワイドエリアアプリケーション中だけで展開され、ＤＳＬシナリオにおいて上述のように、遍在する受信地域の提供と同じ問題によるものである。ＡＴＭは、ワイドエリアネットワーク上で実施されるが、エンドユーザーへの専用のＡＴＭラインの対策が遅く、時間がかかりすぎるプロセスであるので、リモートアクセスのために従業員にＡＴＭサービスを提供することは高価で、一般に直ちに使用可能でない。
【００１２】
エンタープライズネットワークにレイヤー２連結性を提供するための別の可能性は、「２倍の暗号化」を実施する伝統的なアクセスポイントとともにある。暗号化の第１段階はワイヤレス媒体上にあり、８０２．１１ｉやＷＰＡ等の既存の安全なレイヤー２プロトコルを使う。暗号化の２番目のフェーズはアクセスポイントのつながった側面上にある。しかし、暗号化が始まる前に、アクセスポイントは、８０２．３のイーサネットに８０２．１１のトラフィックに掛け渡し、それからレイヤー３インターネットの横断用のトラフィックを用意するために、ＩＰ中でトラフィックをカプセル化すべく、Ｌ２ＴＰなどのＩＰ上でレイヤー２トンネルプロトコルを利用するために設定されなければならない。アクセスポイントは、ＩＰＳｅｃを使って、その時トラフィックを暗号化し得る。トラフィックは、ＩＰＳｅｃ  ＶＰＮコンセントレータによって企業の中で終了することができ、Ｌ２ＴＰヘッダは、ルータまたはＶＰＮコンセントレータによって外部から外されることができる。このアプローチについての問題は、ＶＰＮコンセントレータという形の別個のリモートアクセスインフラストラクチャーが、エンドユーザーにリモートの連結性を提供するために、いまだ企業によって必要とされていることである。上述のように、アクセスポイントが２倍の暗号化を提供することが計算的に高価なので、このアプローチは、また、貧弱なパフォーマンス、及び／又は高コストから損害を被るかもしれない。さらに、Ｌ２ＴＰ及びＩＰＳｅｃにおけるデータのカプセル化は、アクセスポイントとＶＰＮコンセントレータとの間のリンクの性能を低下させる。このメカニズムの追加のオーバーヘッドは、ＶｏＩＰなどの時間に敏感なアプリケーションの上に逆効果を及ぼし、またアクセスポイントとＶＰＮコンセントレータとの間のワイドエリアの接続の上で使用可能な有効なスループットを減少させるかもしれない。
【００１３】
ＳＯＨＯ／需要家の使用のために遍在する、低コストのワイヤレスＬＡＮ  ＮＩＣカードとアクセスポイントは、一般により高度なセキュリティが必要である企業環境で使用するための８０２．１１ｉやＷＰＡなどの安全なレイヤー２プロトコルの開発を駆り立てた。８０２．１１ｉ及びＷＰＡの両方は、ワイヤレスクライアントと有線（インターネットに接続された：Ｗｉｒｅｄ）ネットワークとの間で無線通信のために強いユーザー認証と暗号化を提供する。
【００１４】
また、別の可能性は、エンタープライズネットワークにレイヤー２連結性を提供するためにＲＦ／ワイヤレスメッシュベースディストリビューションサービスを使うことである。このモデルにおいて、ワイヤレスクライアントは、そのＲＦインタフェース経由のトラフィックを他のアクセスポイントに転送するアクセスポイントと結合することができる。トラフィックが有線ネットワークに入るまで、これらは次々トラフィックを他のアクセスポイントに転送し得る。このエントリのポイントは、８０２．１１の用語においてワイヤレスインテグレーションサービスポータルと名付けられる。空中でトラフィックを確保する１つの最適でないアプローチは、各ホップでＣＰＵとメモリのリソースとを消費するホップ毎の保護(暗号化と完全性)を使うことになっている。
【００１５】
現状の８０２．１１スタンダードと慣例は、それが関連したらワイヤレスクライアントと空中のＡＰとの間でトラフィックを保護するために、ＰＭＫ(ペアワイズマスターキー)として知られている共有された秘密キー情報を引き出すか、又は通用するＡＰの認証コンポーネントを指定する。このＰＭＫは、ワイヤレスクライアント、認証、および信頼された認証サーバー間での、それらのドメインのための信頼のセキュリティバインディングである。同じＥＳＳ及び／又は認証ドメインで、クライアントがローミング、又は別のＡＰに再び関連付ける際に、クライアントは、再び待ち時間をローミングプロセスに追加して、認証することを強制される。この待ち時間は、ネットワーク中のワイヤレスクライアントと別のデバイスとの間で潜在的にセッション(例えば音声)の割り込みが可能である。
【発明の開示】
【発明が解決しようとする課題】
【００１６】
現在、ワイヤレスＬＡＮプロトコルのセキュリティは、企業キャンパス中でクライアントによる企業使用に限定され、ワイドエリアレイヤー３インターネットを横切って拡張されることができない。この企業キャンパスへのワイヤレスセキュリティの限定は、少なくとも２つのソースを持っている：
１．  セキュリティは、アクセスポイントでローカルに終了し、すなわち、アクセスポイントの有線インタフェースはセキュリティ制限がないデータを転送する。従って、軽量のアクセスポイントでセキュリティを終了させる多くの軽量のアクセスポイント／ワイヤレススイッチコンビネーションだけでなく、ほとんどのアクセスポイントは、ワイドエリアネットワークを横切って安全に８０２．１１のレイヤー２トラフィックを搬送することができない。
２．  ワイドエリアネットワークを横切る８０２．１１ｉ又はＷＰＡなどの安全なレイヤー８０２．１１ベースプロトコルを搬送するための受信方法が現在存在しない。
【課題を解決するための手段】
【００１７】
本発明の実施例は、インターネットなどのワイドエリアレイヤー３ネットワークを横切って安全な連結性を企業レイヤー２ネットワークに与えることによって、セキュリティをエンタープライズネットワークからワイドエリアネットワークに拡張する。企業ネットワークにアクセスする安全なレイヤー２を提供するためのこのアプローチの利点は以下を含む：
・  統合されたインフラストラクチャー。
・  企業が軽量の、または重いアクセスポイントを利用することを可能にする。
・  レイヤー２エンタープライズネットワークを家と公開のインターネット施設に拡張する。
・  リモートする企業とプリンタ、ＩＰファックスサービスなどのローカル資源の両方への同時アクセスのためのオプション。
・  企業ベースのＩＤＳ、ファイアウォール、及びウイルススキャニングをてこ入れするために企業を通過するだけのインターネットにアクセスするためのオプション。
・  これらのデバイス間にシームレスなモビリティを含む、企業キャンパス中の軽量で、重いアクセスポイントの同時の共同存在。
・  連結性を有線化したスタンダードベースセキュリティーレイヤー２。
・  携帯電話のローミングをするための簡単なＶｏＩＰ。
【００１８】
本発明は、リモートアクセスと同様に、企業が両方のローカルキャンパスのワイヤレスアクセスのために同じワイヤレスＬＡＮスイッチを利用することを可能にする統合されたインフラストラクチャーを提供する。この機能は、テクニカルサポートへの要求と同様に、資本と操作可能な経費の両方をセーブする。それは、リモートの連結性及びローカル企業の連結性のための挙動が同じであり続けると保証することによって、エンドユーザーに透過的な連結性をサポートする。統合されたインフラストラクチャーは、リモートユーザーにレイヤー２ネットワーキングプロトコルへの可用性を容易にし、従って、リモートユーザーに企業キャンパスネットワークの完全な能力を提供する。これは、企業がリモートユーザーにそのキャンパス中で実行され得るポリシーベースレイヤー２の機能を拡張することを含む。本発明のこれら及び他の面はここにさらに説明される。
【発明を実施するための最良の形態】
【００１９】
本発明に基づき、インターネット等のワイドエリアレイヤー３ネットワークを横切る（越える）企業レイヤー２ネットワークに安全な連結性を与えることによって、ＷｉＦｉ  ＶＰＮはセキュリティを企業キャンパスからワイドエリアネットワークに拡張する。本発明の実施例は、独立して又は共同して動作可能な複数の構成装置を含み得る。そのようなコンポーネントのコンビネーションはＷｉＦｉ  ＶＰＮのために柔軟なフレームワークをサポートする。
【００２０】
レイヤー３ネットワークを横切る企業レイヤー２ネットワークのための許容セキュリティ連結性による、ワイドエリアを横切るエンタープライズネットワークからのセキュリティプロビジョンの拡張。
本発明の実施例において、エンタープライズネットワークのための守秘条項は、ルートプロトコルを使っているワイヤレスコントローラ／スイッチにワイヤレスステーション（ＳＴＡ）のためのトンネル８０２．１１マネジメント及びオプショナルレイヤー２データトラフィックによって拡張される。ルートの定められたトンネルプロトコルの制限されない例として以下を含む：
・  ＩＰ上のＵＤＰ、又は
・  ＩＰ  ｉｎ  ＩＰ（ＩＰ内のＩＰ）
・  ＩＰ−ｓｅｃ
・  ＧＲＥカプセル化、又は
・  ＭＰＬＳ
他の例は、熟練した技術から明白である。
【００２１】
トンネルは、軽量のアクセスポイントＡＰ及びＷＬＡＮスイッチ(レイヤー２／レイヤー３)、又はワイヤレスクライアント及びＷＬＡＮスイッチの間にある。ワイヤレス暗号化は、スイッチ／コントローラ上、又はＡＰ上で終了される。８０２．３までのブリッジングは、スイッチ／コントローラ、又はＡＰを偶然に見い出し得る。
【００２２】
図１は、この方法のロジックを示す。図１において、ＷＬＡＮスイッチでのＷｉＦｉ  ＶＰＮの終端(図のポイント１０５)。ワイヤレスステーション（１０１）は、ワイヤレスネットワーク（１０２）を横切るアクセスポイント（１０３）と接続する。軽量のアクセスポイント（１０３）で、トンネルは、レイヤー２／レイヤー３ネットワーク（１０４）上でＡＰ（１０３）とワイヤレスコントローラ（１０５)との間で作成される。同じ方法で、ワイヤレスポイント１０６は、軽量のアクセスポイント（１０８）に第２ワイヤレスネットワーク（１０７）上で接続する。ＬＷＡＰ（１０８）からワイヤレスコントロール（１０５）まで、トンネルは、ＩＰネットワーク（１０９）上で作成される。
【００２３】
図２は、様々なプロトコルを使用するいくつかの軽量のアクセスポイント（ＬＷＡＰ）（２０２、２１０、２１４）とワイヤレスコントローラスイッチ／ルータ（２０７）との間でのトンネルの作成及び使用方法の制限しない実施例を示す。図２に示された制限しない例において、ＬＷＡＰは、いくつかのワイヤレスステーション（２０１、２０８、２１２）をインターネットに接続する。図２は、トンネルの５つのタイプを示す：ＵＤＰ／ＩＰトンネル（２０３）、ＧＲＥトンネル（２０４）、ＩＰ  ｉｎ  ＩＰトンネル（２０５）、ＭＰＬＳラベルスイッチパス（ＬＳＰ）（２１１）、及び異なるネットワークを横切って動作するＩＰ−Ｓｅｃ（２１２）。これらは例えば目的だけを示している；多くの他に取り得る方法は熟練した技術から明白である。図２は、２つの制限しない例：２つのイーサネット／ＩＰネットワーク［２０５、２１５］とＩＰエッジを送り込む１つのＭＰＬＳ（２１１）を示す。
【００２４】
これは、ＵＤＰ／ＩＰ上に乗る軽量のＷｉＦｉ  ＶＰＮプロトコルの中で８０２．１１データパケットをカプセル化することにより、１つの実施例において遂行される。実施例において、セキュリティは、ＷＰＡや８０２．１１ｉ等の８０２．１１−ベーススタンダード−ベースセキュリティプロトコルによって提供される。ＷｉＦｉ  ＶＰＮプロトコルへのレイヤー２パケットのカプセル化は、ＰＣ、ＰＤＡ、又はＶｏＷＬＡＮ電話内に軽量のアクセスポイント、又はバーチャルインタフェースクライアントソフトウェアのどちらかによって実行される。ＷｉＦｉ  ＶＰＮトラフィックは、その時、トラフィックが非暗号化され、企業有線ネットワークに掛け渡されることを可能にするワイヤレスＬＡＮスイッチの有線インタフェースに安全に送信されることができる。実施例において、ＵＤＰ／ＩＰ上で動作する軽量なプロトコルは、軽量のアクセスポイントとＷＶＬＡＮスイッチとの何れか又はワイヤレスクライアントと、ＷＶＬＡＮスイッチとの間で通信するリモートネットワークプロトコル（ＲＮＰ）である。
【００２５】
ＡＰマネジメント、ステーションマネジメント、データトンネリング、キャプティブポータル、及びデータ送出端点の分離（セパレーション）
この発明は、ＡＰマネジメント（ＲＣ）、ステーションマネジメント（ＳＭ）、データトンネリング（ＤＴ）、キャプティブＷｅｂポータル、及びデータ送出制御端点を分離するための方法を提供する。本発明の一実施例において、ＤＦ端点は、ワイヤレスコントローラによって共通の配置とされる必要のない他のＡＰ又はスイッチ、又は他のデバイス上で終了し得る。
【００２６】
本発明の実施例において、マネジメント及びＲＮＰプロトコル経由のデータトラフィックのトンネリングは、以下のサブトンネルの１つ以上を使用し得る：
・  ＲＮＰ−ＲＣ−無線制御
・  ＲＮＰ−ＳＭ−ステーションマネジメント
・  ＲＮＰ−ＤＴ−データトンネリング
・  ＲＮＰ−ＷＰ−キャプチャーポータル、及び
・  ＲＮＰ−ＤＦ−データ送出コントロール
【００２７】
本発明の実施例において、ＲＮＰプロトコルは、サブトンネルの他のタイプのさらなる追加について拡張可能である。
【００２８】
図３は、低レイヤヘッダ（ＭＰＬＳ、及び／又はイーサネットヘッダ（３０１））上で、ＵＤＰヘッダ（３０３）に続き、次のＩＰヘッダ（３０２）に続くＲＮＰプロトコルヘッダ（３０４）のパケットカプセル化を示す。ＲＰＮプロトコルヘッダは、ＲＮＰコモンヘッダ（３０４）、ＲＮＰサブプロトコルヘッダ（３０５）、及びＲＮＰサブプロトコル特定データ（３０５）の３つの部分を有する。ＲＮＰヘッダは、タイプフィールドでサブプロトコルを指定する。
【００２９】
図３は、また、そのサブプロトコルと関連づけられたサブプロトコルヘッダとデータによって、どのように共通のヘッダがプロトコルを別個のサブプロトコルストリームに分割するかを示す：
・  ＲＮＰ−ＲＣ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＲＣサブプロトコルヘッダ（３１１）、及びＲＮＰ−ＲＣサブプロトコルデータ（３１２）、
・  ＲＮＰ−ＳＭ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＳＭサブプロトコルヘッダ（３１３）、ＲＮＰ−ＳＭサブプロトコルデータ（３１４）、
・  ＲＮＰ−ＤＴ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＤＴサブプロトコルヘッダ（３１５）、ＲＮＰ−ＤＴサブプロトコルデータ（３１６）
・  ＲＮＰ−ＷＰ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＷＰサブプロトコルヘッダ（３１７）、ＲＮＰ−ＷＰサブプロトコルデータ（３１８）
・  ＲＮＰ−ＤＦ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＤＦサブプロトコルヘッダ（３１９）、ＲＮＰ−ＤＦサブプロトコルデータ（３２０）
【００３０】
図４は、ＩＰ−ｉｎ−ＩＰトンネル又はＧＲＥトンネル上で動作するＲＮＰプロトコルとともに本発明の実施例を示す。ＲＮＰプロトコルヘッダ（４０４、４０５、４０６）は、ＩＰ  ｉｎ  ＩＰ（４０２及び４０３）のためのトンネルヘッダに付随する。図４は、またＲＮＰヘッダ（４１２、４１３、４１４）の前のＧＲＥトンネルヘッダ（４１１）とともに本発明の実施例を示す。図５は、バーチャルトンネルとしてのＭＰＬＳラベルスイッチパス上で操作するＲＮＰプロプロトコル、及びキューを転送することに基づいて区別されたサービスロジカルトンネル上で動作するＲＮＰプロトコルの実施例を示す。
【００３１】
図７は、ＲＮＰプロトコルのコモンヘッダバージョン１．０のＲＮＰプロトコルの実施例を示す。図７は、実際のヘッダフィールドを示すために図３からフィールド３０４を拡張する：バージョン（７０１）、セキュリティバージョン（７０２）、フラグ（７０３）、タイプ（７０４）、長さ（７０５）、及びシーケンス（７０６）を示す。タイプフィールドは、サブプロトコルタイプ（ＲＮＰ−ＲＣ、ＲＮＰ−ＳＭ、ＲＮＰ−ＤＴ、ＫＮＰ−ＷＰ、ＲＮＰ−ＤＦ）を含んでいる。
【００３２】
図８は、どのようにこれらのＲＮＰサブプロトコルストリームが異なるトンネル上で軽量のアクセスポイント（ＬＷＡＰ）の操作を分割することができるかを実演する。図８中で、ワイヤレスステーション８０１は、ワイヤレスネットワーク（８０２）上でＬＷＡＰ８０３と通信する。トンネル上でＲＮＰプロトコルを使って、ＬＷＡＰ８０３は以下の１つ以上を送る：
・  ＲＮＰ−ＲＣメッセージを使っているＷＬＡＮコントローラ１（８０５）に送信する無線制御情報，
・  ＲＮＰ−ＳＭを使っているＷＬＡＮコントローラ２（８０６）へのステーションマネジメント情報，
・  ＲＮＰ−ＤＴとＲＮＰ−ＤＦメッセージを使っているＷＬＡＮコントローラ３（８０８）を送信されるデータ，
・  ＲＮＰ−ＷＰメッセージ経由でＷＬＡＮコントローラ（８０８）に送信されるキャプティブＷｅｂポータル情報。
【００３３】
図８は、また、ＬＷＡＰデバイス（８１９）からレイヤー２／レイヤー３ネットワーク（８１５）を横切る全てのＲＮＰメッセージ（８１６）を運ぶWLANコントローラ３（８０９）までのトンネルを示す。
【００３４】
クライアント（ＷｉＦｉ  ＶＰＮクライアント）のバーチャルインタフェースへのトンネリングプロトコルの拡張。
本発明の実施例は、クライアントでバーチャルインタフェースを構築するために、トントンネリングプロトコルを拡張し、そのクライアントにトンネリングプロトコルを拡張する。バーチャルインタフェースコンセプトは、有線(イーサネット)ネットワークインタフェースだけでなく、ワイヤレスによってクライアントに適用する。
【００３５】
いくつかのそのような実施例は、レイヤー３ネットワークを横切る８０２．１１技術を使うＷｉＦｉ  ＶＰＮを作成する。例を制限しないこととして、ステーションは、ＰＣ、ＰＤＡ、又はＶｏＩＰ電話とし得る。他の適当な例示は、該技術において熟練したそれらから明白であろう。ＷｉＦｉ  ＶＰＮクライアントは、ＷＰＡ、８０２．１１ｉ、又は別の適当な暗号化プロトコルを使うことによって暗号化し、それから、リモートネットワークプロトコル（ＲＮＰ）中でカプセル化する。
【００３６】
図９は、どのようにバーチャルクライアントが、ワイヤレスネットワーク（９０２）上のＰＣ（９０１）上で動作し、ＲＮＰプロトコルをサポートしないサードパートアクセスポイント（９０３）を横切って通信することができるかを示す。ＲＮＰプロトコルは、ＰＣ（９０１）上のバーチャルクライアント上で作成され、２つの異なるコントローラ、ＷＶＬＡＮコントローラ１（９０４）及びＷＶＬＡＮコントローラ２（９０５）にＲＮＰサブプロトコルストリームを発送する。
【００３７】
図９は、また、どのようにＰＤＡがバーチャルソフトウェアを実行することができるかを示す。図９において、トンネルは、この発明のＬＷＡＰポイントにワイヤレスネットワーク（９２１）を横切って存在している。バーチャルクライアントは、ＲＮＰサブプロトコルストリーム（９３１）をＷＶＬＡＮコントローラ３（９３５）に渡す。バーチャルクライアントの接続がワイヤレスネットワーク（９４３）を横切ってＬＷＡＰポイント（９４１）と接続し、ＲＮＰサブプロトコルメッセージ（９５１）をＷＶＬＡＮコントローラ２（９３４）に渡しているトンネル（９５２）に繋がるＰＣ（９４２）上でのバーチャルクライアントの接続を示す図３に、これらのバーチャルクライアントの使用のための第３オプションが説明されている。
【００３８】
図１０は、このデータをカプセル化して取り入れられるステップを示し：
・  ステップ１  −  アプリケーションデータは、企業（１００１）内の有線ホストに送られる。
・  ステップ２  −  アプリケーションは、ＩＰｖ４スタック（１００４）を介してＲＲＰ１００７へ、又は、ＩＰｖ６スタック（１００５）を介してＲＲＰ１００７へ、それをＲＮＰバーチャルクライアントに決定する。
・  ステップ３
○  ａ）クライアントは、パケットを暗号化する。例を制限しないこととして、暗号化は、８０２．１１ｉ、ＷＰＡ、ＷＰＡ２、ＲＣ４、又は他の暗号化アルゴリズムを使って、実行され得る。
○  ｂ）クライアントは、ＵＤＰ／ＩＰｖ４トンネル、又はＵＤＰ／ＩＰｖ６トンネル上で、コントローラにＲＮＰプロトコル（ＲＮＰ−ＤＴ、ＲＮＰ−ＤＦ、ＲＮＰ−ＷＰ、ＲＮＰ−ＳＭ）を介してコントローラに送信する。
・  ステップ４  −  リモートＷＶＬＡＮコントローラ４は、他のパケットとしてＲＮＰパケットを処理する。
【００３９】
セキュアデータへのＩＰ−Ｓｅｃトンネルの代わりのレイヤー２暗号化の利用
この発明の実施例は、ワイヤレスデータを守るためにＩＰレイヤーセキュアトンネル（ＩＰ−Ｓｅｃ等）の代わりに８０２．１１ｉなど、レイヤー２暗号化プロトコルを使用する。図１１は、８０２．１１ｉ、ＷＰＡ、ＷＰＡ  ＲＣ−４などの制限しない例の方法等により、異なるレイヤー２暗号化によって暗号化された異なるアクセスポイント内のネットワークの一例を説明する。実施例は、これらのアクセスポイント（１１０３、１１０８、１１１０、１１２１）のそれぞれが次をすることを可能にする：
○  暗号化によってワイヤレスステーショントラフィックを暗号化する。
○  ＲＮＰプロトコル（１１１３、１１１４）を介してトラフィックをリモートＷＶＬＡＮコントローラに渡し、そして、
○  ＷＶＬＡＮコントローラ（１１０５）上のトラフィックを暗号解読する。
【００４０】
そのような実施例は、ＩＰレイヤーセキュアプロトコル（ＩＰ−Ｓｅｃ等）を使用することなく、軽量のアクセスポイントとレイヤー２/レイヤースイッチとの間でユーザーデータを保護する。
【００４１】
図１１が示しているように、この暗号化されたデータは、ＲＮＰプロトコル中で暗号化されなかったデータ（ＡＰ１１０８）と平行的に動作できる。
【００４２】
この発明の実施例は、ワイヤレスＬＡＮスイッチ上でデータの暗号化を終了させる。この発明の他の実施例は、スイッチ／ルータ上でデータの暗号化を終了させる。またこの発明の別の実施例は、別のアクセスポイント上で暗号化を終了させる。
【００４３】
コントローラを探し出すために、アクセスポイントによって使用されるディスカバリー／インプリンティング
この発明の実施例は、’’インプリンティング’’として知られているメカニズムを実施することにより、ワイヤレスコントローラ／スイッチからの情報によって’’インプリントされる’’ために、ＮｅｘｔＨｏｐ  ＷｉＦｉ  ＡＰ用の方法を持っている。本発明の実施例において、’’インプリンティング’’は、以下のステップの1つ以上を含む：
１．  ＷｉＦｉ  ＡＰとワイヤレスコントローラ／スイッチは、ブロードキャストＲＮＰ−ＲＣ（無線制御）メッセージを使っているレイヤー２ネットワーク上で互いを発見する。ＲＣネームリクエストメッセージは、この目的のために使われる。
２．  アドミニストレータによるオプション認証、又はＡＰがワイヤレスコントローラによってコントロールされることを可能にするポリシー
３．  ＡＰは、その持続的なメモリ、例えばフラッシュメモリ中のコントローラ(例えばＤＮＳ名、ＩＰアドレス)のために発見されたアドレス指定情報を記憶している
４．  コントローラによって将来のセッションを設立するために、持続的な情報の使用は、ＡＰにおいて記憶される。将来のセッションは、新しいロケーションにＡＰを移動した後に設立され得る。新しいロケーションは、ＡＰとコントローラとの間にレイヤー３／ＩＰネットワークを持ち得る。
５．  プライマリーコントローラが利用できない時に使用されるための、補助的なコントローラアドレス情報を持つプライマリ−コントローラアドレス情報のオプションの増加。補助的な情報は、ＲＮＰ−ＲＣプロトコルを介して伝達され、ＡＰ持続メモリに保存される。
【００４４】
ＡＰがレイヤー２(イーサネット)ブロードキャストを介してそのコントローラと通信することができなければ、コントローラのＤＮＳ名又はＩＰアドレスは、ローカルインタフェース(例えばシリアルインタフェース)を介してＡＰ上で供給される。
【００４５】
この方法の一実施例は、ＲＮＰメッセージと並べられて図１２に示される。ステップ１−５は、この図においてそれぞれアイテム（１２００、１２０３、１２０４、１２０５、１２０６）としてリスト化される。この方法のこの実施例のために、図１３は、ＲＮＰ−ＲＣメッセージを送ることにおけるアクセスポイント用のステイトマシンを提供する。このステイトマシンにおいて、３つの状態：発見する（１３０１）、接続する（１３０２）、接続される（１３０３）がある。
【００４６】
図１４は、インプリンティング用のＲＮＰ−ＲＣメッセージのための事例メッセージフォーマットを説明する。ＲＮＰ−ＲＣメッセージは、ＲＮＰコモンヘッダ（３０４）を有し、ＲＣ特定ヘッダ（１４００）が続き、ＲＮＰ−ＲＣタイプ特定のフォーマットが続いている。ＲＮＰ−ＲＣヘッダは、次のためにフィールドを持っている：メジャーバージョン（１４０１）、マイナーバージョン（１４０２）、プリミティブ（１４０３）、トランザクションＩＤ（ＴＩＤ）（１４０４）、長さ（１４０５）。ＲＮＰ−ＲＣメッセージは、インプリンティングのための以下を含む：
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＮＡＭＥ＿ＲＥＱＵＥＳＴ＿ＭＥＳＳＡＧＥ（本文１４０６−１４０７)
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＣＯＮＮＥＣＴ（本文説明は、１４０８−１４１０である）
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＡＣＣＥＰＴ（本文説明１４１１−１４１２）
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＭＩＧＲＡＴＥ（本文説明１４１３）
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＤＩＳＣＯＮＮＥＣＴ（本文説明１４１４）
【００４７】
図１５は、インプリンティングをサポートしているＷＬＡＮコントローラのためのステイトマシン中のこの方法の一実施例を示す。このステイトマシンは、５つの状態：不明（１５０１）、発見される（１５０２）、接続する（１５０３）、マイン（１５０４）、接続される（１５０５）を有する。本発明の実施例の中で、これらの状態の間の状態遷移は、以下のイベントによって実行される：
○  ユーザーインタフェース変更：ＧＵＩ作成（１５２０）、ＧＵＩ削除（１５２１）、ＧＵＩ割当て（１５２２）、ＧＵＩ非割当て（１５２３）、
○  タイマ終了：タイマ（１５２４）を発見し、タイマ（１５２５）を接続する、そして、
○  ＲＮＰ−ＲＣメッセージの受け取り：ＲＮＰ−ＲＣ＿ＭＳＧ＿ＮＡＭＥ＿ＲＥＱＵＥＳＴ（１５１０）、ＲＮＰ−ＲＣ＿ＭＳＧＣＡＰＡＢＩＬＩＴＩＥＳ（１５１１）。
各イベントは、それと関連づけられた行動を有し得る、又は有し得ない。
【００４８】
異なる暗号化キーを使っている空中のバーチャルＬＡＮ（ＶＬＡＮ）のバーチャルＬＡＮ（ＶＬＡＮ）割り当てとセパレーション
８０２．１１スタンダードは、空中でＶＬＡＮを８０２．１１データトラフィックに割り当てるためにメカニズムを定義しない。一般に、拡張されたサービスセットＥＳＳは、シングルＶＬＡＮに地図が作られる。ＥＳＳ、それからＶＬＡＮは一般に８０２．１１データトラフィックのために機密保持のシングルタイプを実施する。
【００４９】
本発明の実施例は、複数のＶＬＡＮが公示されることを可能にし、それらのトラフィックが空中で分離される。実施例において、これは、複数のセキュリティタイプが各ＥＳＳと関連づけられることを可能にすることによって遂行され、それぞれはＶＬＡＮが割り当てられる。実施例において、どのＶＬＡＮもＥＳＳセキュリティタイプと関連づけられないならば、割り当てられたＶＬＡＮは、ＡＰ上のイーサーネットインタフェースのために設定されたデフォルトＶＬＡＮによって決定される。さらに、ポリシーベースＶＬＡＮ（ＲＦＣ  ３５８０）は、１人のユーザーあたり(クライアントステーション)ベースでＡＡＡサーバー又はディレクトリサーバによって割り当てられ得る。ＥＳＳに選ばれたセキュリティタイプ上の１つの制限は、それらのすべて又はどれかが空中暗号化の上で提供しなければならないことである。
【００５０】
本発明の実施例は、セキュリティモデルのみならず、そのようなセキュリティモデルを使っているトラフィックを暗号化する方法も含む。
【００５１】
実施例において、セキュリティキーは、タプルによって示されたバーチャルインタフェースのそれぞれと関連づけられ、ＥＳＳを公示している（潜在的なバーチャル）ＡＰのワイヤレスＭＡＣアドレスを示す’’ＢＳＳＩＤ’’での＜ＶＬＡＮ，ＢＳＳＩＤ，セキュリティタイプ＞を示すタプルを含み、’’ＶＬＡＮ’’は、サポートされたＶＬＡＮ（デフォルトとしてのセキュリティタイプへの割り当て、ポリシー又はネットワークトポロジによって決定したことを経て）を示し、「セキュリティタイプ」は、ワイヤレスネットワークによってサポートされたセキュリティタイプの１つである。サポートされ得るセキュリティタイプは以下を含む：
・  暗号化のない８０２．１１オープン認証
・  静的なＷＥＰキーによる８０２．１１オープン認証、動的なＷＥＰ暗号化、ＷＰＡ（ＴＫＩＰ）、ＷＰＡ２、及び８０２．１１ｉ（ＡＥＳ）による８０２．１Ｘ
・  静的なＷＥＰキーとの８０２．１１シェア認証
【００５２】
図１６は、タプル＜ＶＬＡＮ、ＢＢＳＩＤ、セキュリティタイプ＞のそのセキュリティキーによるセキュリティモデル、及び、以下のセキュリティタイプ：非暗号化による８０２．１１オープン認証（１６１０）、オープン認証（１６１１）、８０２．１１シェア認証（１６１２）を例示する。
【００５３】
実施例において、空中の全てのブロードキャストトラフィックは、バーチャルインタフェースのためにセキュリティキーによって暗号化される。空中の全てのユニキャストトラフィックは、ＡＰとクライアントとの間でセキュリティタイプのためにネゴシエイトされたペアワイズキーによって保護される。このメカニズムは、シングル(潜在的なバーチャル)ＡＰ(唯一のＢＳＳＩＤによる)を介し、団体のために空中で複数のＶＬＡＮをサポートし、空中でＶＬＡＮセマンティックスを保護している要求されたＶＬＡＮデータトラフィックセパレーションを達成する。
【００５４】
図１７は、ワイヤレスステーション（１７０１）とＡＰ（１７０３）との間で、ブロードキャスト、マルチキャスト、およびユニキャストトラフィックの暗号化を説明する。トラフィックは、ワイヤレスネットワーク（１７０２）を横切ってワイヤレスステーションからワイヤレスコントローラ（１７０５）へのＡＰ（１７０３）に流れる。ユニキャストトラフィック（１７１１）は、ＡＰとクライアントとの間でネゴシエイトされたペアワイズキー（１７１０）によって暗号化され、ユニキャストパケット（１７１３、１７１４、１７１５）でＡＰに送信される。ブロードキャストデータトラフィック（１７２１）は、バーチャルインタフェース（１７２０）のためのブロードキャストキーによって暗号化され、ワイヤレスネットワーク（１７０２）を横切ってパケット（１７１６）として送られる。マルチキャストデータ（１７２３）は、１つのグループキー（１７２２）当りで暗号化されて、ワイヤレスネットワーク（１７０２）を横切って送られる。パケットの解読は、ＡＰ（１７０３）又はワイヤレスコントローラ（１７０５）に存在している。パケットの非暗号化(解読)は、パケットレイヤー２アドレス情報から決定されるように、パケットのタイプに基づく。非暗号化（１７０６）は、データのタイプ毎に適切なキー： ユニキャストペアワイズキー（１７１０）、ブロードキャストキー（１７２０）、およびマルチキャスト（１７２２）を使う。
【００５５】
企業がＷＬＡＮコントローラの上で終了し、ローカルトラフィックがＡＰで終了する時のＷｉＦｉクライアント内でのルーティングインテリジェンス
ＷｉＦｉ  ＶＰＮクライアントにおけるＲＮＰの実施例は、まれに頭文字「ＲＲＰ」によって参照される。ＲＲＰは、ＷｉＦｉ  ＶＰＮバーチャルクライアント中のＲＮＰの使用と同義である。
【００５６】
実施例において、ＲＲＰクライアントは、８０２．１１／８０２．１１ｉに基づくセキュリティが、ＩＰＳｅｃ又はＰＰＴＰ等の追加のインフラストラクチャーを使用することなく、ワイドエリアＶＰＮを提供することに適用されることを可能にする。ＲＲＰクライアントがレイヤー３ネットワーク上でワイヤレスＬＡＮコントローラ／スイッチに離れて接続している時。そのようなトポロジの１つのアプリケーションは、ブランチオフィスワイヤレスネットワークのためである。
【００５７】
ブランチオフィスシナリオ中、両方のトラフィックは、ローカルネットワーク(例えばローカルプリンタ)と、同じ８０２．１１（８０２．１１ｉ）の基づく認証メカニズム、及び企業のオフィスによってコントロールされたポリシーをシェアするリモート企業オフィスとに定められる。データトラフィックを分離し、適切に保護するために、ＲＲＰクライアントは、次の通り作業するルーティング機能を提供する：
１．  １つ以上のローカル暗号化キー(ＬＥＫ)と１つ以上のリモート暗号化キー(ＲＥＫ)が認証プロセスから引き出される。制限なしで、複数のＬＥＫ及びＲＥＫは、ローカル又はリモートディスティネーション、及びトラフィックタイプ(ユニキャスト、ブロードキャスト、及びマルチキャスト)のコンビネーションのために、それぞれ引き出され得る。
○  実施例において、ユニキャストＬＥＫ又はＲＥＫ誘導は、ＰＴＫ(ペアワイズキー)を引き出した８０２．１１ｉ上で一方向のハッシュ関数の使用に関係している。
○  実施例において、ブロードキャストＬＥＫ、又はＲＥＬ誘導は、ランダムキーを暗号化するユニキャストＬＥＫ又はＲＥＫの使用と、クライアントへのそのキーを通過することとに関係している。
○  実施例において、マルチキャストＬＥＫ又はＲＥＫ誘導は、ランダムキーを暗号化する１つのグループあたりのマルチキャストＬＥＫ又はＲＥＫの使用と、それをクライアントに渡すこととに関係している。マルチキャストＲＥＫは、グループに定められたマルチキャストトラフィックを暗号化するために使われる。
２．  トラフィックは、２つの部分に分離される： ローカルネットワークに送信されるトラフィックとリモートネットワークに定められるトラフィック。
３．  ローカル暗号化キー（ＬＥＫ）を使用するローカルネットワーク(サブネット、ｖｌａｎ等)に定められた全てのトラフィックは、ローカルなＡＰ（アクセスポイント）に使用可能である。
４．  リモートネットワーク(サブネット、ｖｌａｎなど)に定められる全てのトラフィックは、リモート暗号化キー（ＲＥＫ）がローカルＡＰに使用可能でないが、リモートディスティネーションでＷＶＬＡＮスイッチ又はコントローラに使用可能である。
【００５８】
図１８は、異なるキー（ＬＥＫ、ＲＥＫ）を持つローカルトラフィックとリモートトラフィックとを暗号化するための本発明の一実施例を示す。ワイヤレスステーション（１８０１）上で動作しているバーチャルクライアントは、ローカル暗号化キー（１８１０）によってローカル設定（デスティン）データ（１８１１）を暗号化し、データを’’ローカルに’’転送されたデータ（１８１３及び１８１４）によって旗が掲げられたパケットの中に送信する。データを暗号解読するために、ローカルバーチャルクライアント（１８０６）はローカルキー（１８１０）によって非暗号化を通じてパケット（１８１３及び１８１４）を配置する。ＷＶＬＡＮコントローラ２（１８０８）上のリモートクライアントは、１つのワイヤレスネットワーク（１８０２）といくつかの有線ネットワーク（１８０４、１８０７）とを横切るパケット（１８２２、１８２３）を受け取る。アンエンクライプター（１８０９）とＲＥＫ（１８２０）を使って、データは、オリジナルデータ（１８２１）を復元するために暗号化されない。
【００５９】
このメカニズムは、追加のオーバーヘッド又はＶＰＮなしで暗号化されることをリモートネットワークに定められたトラフィックが、ＡＰ上で実施されることを可能にする。ＡＰは、８０２．１１フレームフィールド(例えばフレームコントロール、フレーム中のアドレス４等の特別確保されたｍａｃアドレス)でスペシャルビットを使って、リモートネットワークからローカルネットワークに定められたトラフィックの間で明確にし得る。
【００６０】
図１８は、また、８０２．１１フレームのスペシャルポーション上で打鍵し、ＬＥＫを使用するローカルトラフィック及びＲＥＫを使用するリモートトラフィックを暗号化する’’ルーティングインテリジェンス’’を活用するこのブランチオフィスシナリオトポロジを示す。
【００６１】
図１８ａは、データを暗号化するために、クライアントが使用するＬＥＫ／ＲＥＫを示す。図１８ｂは、どのようにクライアントユーザーＬＥＫ／ＲＥＫがデータを複合化するかを示す。図１８ｃは、どのようにローカルトラフィックが非暗号化されて通過し、リモートトラフィックが暗号化されて通過し得るかを示し、図１８ｄは、リモート暗号化トラフィックがローカルトラフィックから分離（ｄｅｍｕｘｅｄ：デマックス）されるかを示す。図１８ｄ中のローカルトラフィックは、それを転送することに先がけてまた暗号化される。図１９は、ユニキャストトラフィックのための特殊なフレーム制御フィールドと特殊なＭＡＣアドレスを示す。
【００６２】
例えば、現在未使用の８０２．１１フレームコントロールフィールド値は、フレームが、ＲＥＫを使用して暗号化されて、それがディスティネーションで暗号解読されるであろうということを示すために使用され得る。ローカルＡＰは、単に有線ネットワークにこのフレームを掛け渡すであろう。サービスアタックの潜在的な拒否を回避するために、ＬＥＫを使っているオプションの特殊なメッセージの完全性チェックサムは使用され、又は、ブリッジングのこのタイプは、既知のディスティネーションへのＲＫＰプロトコルＰＤＵに制限される。
【００６３】
ワイヤレスメッシュネットワーク中のＷｉＦｉ  ＶＰＮ
この発明は、それが、（１）有線ネットワーク、又はワイヤレスＬＡＮスイッチ、又は、アクセスコントローラ、或いは（２）クライアントトラフィックを暗号解読するために、セキュリティステイトを有するネットワーク内の他のデバイスが入るポイントまで、ワイヤレス（８０２．１１）ネットワークインフラストラクチャー上でＲＮＰを介して８０２．１１フレームのブリッジングをサポートする方法を含む。このアプローチは、メッシュベースのワイヤレスネットワークに適用される時、現在のワイヤレススタンダードを慣例によって指定されるホップ毎の暗号化を避ける。
【００６４】
この発明の実施例において、ワイヤレスクライアントステーションからの８０２．１１フレームが、メッシュ中の他のＡＰ上のＲＦインタフェースを介してインテグレーションサービスポータルに接続されてルートが決められるＡＰでＲＦ／ワイヤレスメッシュベースディストリビューションシステムに入る。該システムは、ＲＦメッシュに入るステーショントラフィックのＡＰで８０２．１１ｉ又は他の暗号化を終了しないが、８０２．１１ｉ又はステーショントラフィックが、有線ネットワークに入るポイントで行う。
【００６５】
図２１は、この発明の一実施例を示す。ワイヤレスクライアント（２１１０）からのパケットは、転送され、アクセスポイント１（２１０３）で暗号化され、ＲＮＰを介してワイヤレスコントローラ（２１０９）に伝送される。ＡＰ−１からワイヤレスコントローラまでの伝送路は、：
・  有線ネットワーク１を横切るＡＰ−１（２１０３）を介してＡＰ−２（２１０５）まで
・  ワイヤレスネットワーク（２１０６）を横切るＡＰ−２（２１０５）からＡＰ−３（２１０７）まで、そして、
・  有線ネットワーク（２１０８）を横切るＡＰ−３（２１０７）からワイヤレスコントローラ（２１０８）までである。
【００６６】
ペアワイズマスターキー（ＰＭＫ）シェアリングのための方法
ワイヤレスＬＡＮスイッチ、又はコントローラアーキテクチャは、カレントスタンダードに基づいたＰＭＫを得る８０２．１１ｉ認証コンポーネントを提供する。このＰＭＫは、クライアントと認証サーバーとの間のカレントクライアント団体のための認証にだけ知られている。しかし、スイッチが複数のＡＰのために認証コンポーネントを含んでいれば、ＰＭＫは、セキュリティ保証に違反せずにＡＰ（または８０２．１１ＢＳＳｅｓ）の間でシェアされ得る。この発明のコンテキストにおいて、クライアントが与えられるＰＭＫ、及び各認証によって使用される認証サーバーは、：
・  同一である
・  同じクライアントのための別のＰＭＫ及び認証サーバーから誘導される、又は
・  コンビネーションがＨＭＡＣ−ＳＨＡ１等の一方向の暗号のハッシュ関数を使う暗黙の、または公然と観察できる情報を使っている。
【００６７】
この方法は、ＥＳＳ内又は認証ドメイン内で別のＡＰに再び関連付けるか、ローミングする間にネットワークに余分な(再)認証を避けるために使用され得る。 ワイヤレスクライアント及びＡＰが上記メカニズムを使用するための１つの方法は、ここで説明されるようシェアリングし、速くローミングするＰＭＫが機能する将来性を公示することである。そのような公示は、８０２．１１ｉＲＳＮ  情報要素等のスタンダード８０２．１１情報要素の能力内の追加の８０２．１１情報要素又は追加のコンポーネント（ｂｉｔｓ）を使用できる。
【００６８】
上述したシェアリング等は、複数のＷＬＡＮスイッチ又はコントローラ間でローミングしているときに可能である。それは、ワイヤレスＬＡＮスイッチ又はコントローラとトラディショナルファットＡＰとの間、又は、ファットＡＰ間で、ＰＭＫをシェアすることが可能である。シェアロングの１つのメカニズムの中で、ＡＰのための認証は、ワイヤレスクライアントが最初にネットワークに認証している時に、そのＲＦ付近のＡＰのために、認証サーバーからローミング許可トークンを取得する。
【００６９】
認証は、ＲＡＤＩＵＳ（ラジアス）メッセージを使用している認証サーバーに関連付けているステーションのＲＦ付近のためにワイヤレスネットワーク中でＢＳＳＩＤを通過し得る。これらのメッセージは、クライアントからのＥＡＰメッセージを送るために使用されるものと同じものであるかもしれない。
【００７０】
企業方針（ポリシー）強制を容易にするために、認証は、団体のためのクライアントステーションによって要求されているＥＳＳ識別(例えばＳＳＩＤ)とセキュリティメカニズム（例えば８０２．１１ｉ）を認証サーバーに伝達するかもしれない。これをするための１つのメカニズムは、ＡＡＡサービスがラジアスサーバーによって提供されるケースの中でこの情報を持つ(潜在的に新しいか、ベンダ固有である)ラジアス属性を使うことである。
【００７１】
図２２は、ラジアスＡＡＡサービスを持つＰＭＫトークンのこのロジカルインタラクションの実施例を示す。図２３は、ラジアスＥＡＰパケットを使っているＰＭＫトークンのための正常なパケットの流れを示す。
【００７２】
要求の中でＥＳＳ、ＢＳＳ、及びセキュリティ情報を使って、認証サーバー（例えばラジアス)は適切な許可トークンを生成し、認証に戻し得る。ラジアスがＡＡＡに基づく場合に、トークンは、クライアント認証の成功を示すために使われたラジアスアクセプトメッセージに戻され得る。
【００７３】
シェアリングの別のメカニズムにおいて、アクセスポイント（ＡＰ）がパブリックキー、又はパブリックキー証明、或いは、パブリックインフラストラクチャーをシェアすれば、ＰＭＫ許可トークンは、ターゲットＡＰパブリックキーを使用するＰＭＫから誘導されるＰＭＫ又はマテリアルを暗号化することによって、パブリックキー暗号化を使用するＲＰ付近でＡＰのために生成される。
【００７４】
いくつかの実施例において、許可トークンは、パブリックネットワーク上又は空中で転送され、パブリックキーメカニズムを使用する時に、ＡＰと認証サーバーとの間でのシェアされた秘密を使用する、又は、アクセスポイント（ＡＰ）が自身のプライベートキー（秘密キー）を受け取るＰＭＫを獲得するために、一致したＡＰだけが暗号解読できる。ローミングにおける余分な再認証プロセスとその結果生じる待ち時間は、そのために避けられる。
【００７５】
ＰＭＫ又は許可トークンを伝送するためのこの発明の１つのメカニズムは、ＰＭＫを伝送するためにワイヤレスクライアントを使用している。トークンは、クライアントからの不必要(例えば、定義された８０２．１１のマネジメントフレーム又は８０２．１ｘフレームを使用すること)又はクライアントからの要求上で、クラアントに分配され得る。クライアントは、一部として、又は８０２．１１リアソシエイション手続きに先立って、これらのトークンをターゲットＡＰに伝送する。このメカニズムは、認証、ワイヤレスクライアント、及び認証サーバーの間でＰＭＫのセキュリティトラストバインディングを保存する。
【００７６】
ＰＭＫ又は許可トークンを転送するための別のメカニズムは、ＲＮＰ又はターゲットＡＰにアドレスした他のプロトコルフレームを使うことになっている。
【００７７】
また、許可トークンを転送するための別のメカニズムは、認証（例えば８０２．１１ｉ)のために使用されるスタンダードＥＡＰメカニズム中で安全にカプセル化され、又は暗号化されたこれらのトークンを提供することになっている。現実に関連付けられたワイヤレスクライアントのための許可トークンは、オプションで、クライアント、認証、及びＡＡＡサーバーの間でスリーウェイトラストバインディングを有効にしているこのメカニズムを使って通過され得る。
【００７８】
リモートネットワークプロトコル（ＲＮＰ）
この発明の実施例は、パケット交換、及びそのようなパケット交換をハンドリングするためのステイトマシンだけでなく、リモートネットワークプロトコル（ＲＮＰ）パケットでＰＵＤをエンコードするための方法を含む。
【００７９】
そのような実施例は、ＲＮＰプロトコル中で、’’タイプ’’フィールドを使用することによって、複数のサブプロトコルをサポートする。この方法は、サブプロトコルの数が多数のサブプロトコルに拡張可能であることを可能にする。
【００８０】
実施例は、また、サブストリームにサブデバイドを促進することを、サブプロトコルに許可する。この発明の実施例は、サブプロトコルを分割するために、サブプロトコルヘッダ中で’’プリミティブ’’フィールドを使用する。
【００８１】
シェアドＷＩＳＰインフラストラクチャー上の企業認証
従来技術において、ＷｉＦｉ  ＶＰＮがホットスポットで展開される時、企業と接続しているワイヤレスクライアントは、２回認証されている−ホットスポットプロバイダーによって一度、企業の認証サーバーによって一度。発明の実施例は、セパレート認証ではなく、企業認証がホットスポットプロバイダーによって使用されることを可能にする。企業アクセスのコントロールをメンテナンスする間、これは、制限しない例の方法、ビジネスモデルに基づく貸出料金により、企業が、使用しているＷＩＳＰインフラストラクチャーをシェアすることを可能にする。いくつかのそのような実施例は、また、与えられたクライアントアクセスのために１つの認証を利用する。そのような実施例は、また、同じＷＩＳＰ  ＡＰと結合している２つの異なったクライアントが異なった企業で認証されることを可能にする。
【００８２】
この発明の実施例において、ＷｉＦｉ  ＶＰＮが軽量なアクセスポイントによってホットスポットで展開される時、クライアントからワイヤレスＬＡＮコントローラ／スイッチにバインディングするレイト／レイジーは、クライアントによって送られたＥＡＰＯＬスタートメッセージを横取りし、ＥＡＰＯＬリクエスト識別メッセージをリターンしているＷＩＳＰ  ＡＰによって作成することができる。ＷＩＳＰ  ＡＰは、ＥＡＰＯＬスタートメッセージを待たずに、不必要にまたＥＡＰＯＬリクエスト識別メッセージをクライアントに送信し得る。
【００８３】
ワイヤレスクライアントは、クライアントのドメインネームとともに平文フィールドを含むＥＡＰＯＬレスポンス識別メッセージを備えたリクエスト識別メッセージに応答し得る。例を制限しないこととして、このドメインネームは、（１）ＤＮＳ名、（２）クライアントの企業名であり、ＩＰアドレスまたはクライアントが接続するワイヤレスＬＡＮコントローラ／スイッチのＤＮＳアドレスを得るために、ＤＮＳサーバーまたは（３）ディレクトリ（例えばＬＤＡＰ)サーバーに対して探されることができる。
【００８４】
イニシャルエクスチェンジに続いて、さらに、ＥＡＰＯＬメッセージは、ＷｉＦｉ  ＶＰＮ（ＲＮＰ）カプセル化プロトコルを使って、ＷＬＡＮコントローラ／スイッチにトンネルが掘られる。認証は、企業内でＥＡＰプロトコルを終了させる企業認証サーバーによってされる。ＷＩＳＰ  ＡＰは、ワイヤレスクライアントがＲＮＰプロトコルを介して首尾よく認証されているならば、データトラフィックフローのみを許容することが指示される。
【００８５】
図４６は、この発明に適用可能なネットワークトポロジを示す。図４７は、認証プロセスのためのパケットフローを説明する。
【００８６】
オプションで、ＷＩＳＰ  ＡＰは、すべてのクライアントデータトラフィックをそれらの各企業ＷＬＡＮスイッチ／コントローラに伝送し得る。
【００８７】
リモートネットワークプロトコル（ＲＮＰ）
本発明の実施例において、ＲＮＰプロトコルはＵＤＰ／ＩＰプロトコル上で動作し、複数のサブプロトコルをサポートする。図３を示された一実施例において、５つのサブプロトコルがある：
・  ＲＮＰ−無線制御（ＲＮＰ−ＲＣ）  −  図３中のアイテム３１１と３１２
・  ＲＮＰ−ステーションマネジメント（ＲＮＰ−ＳＭ）  −  図３中のアイテム３１３と３１４
・  ＲＮＰ−データトランスファー（ＲＮＰ−ＤＴ）  −  図３中のアイテム３１５と３１６
・  ＲＮＰ−Ｗｅｂポータル（ＲＮＰ−ＷＰ））  −  図３中のアイテム３１７と３１８、及び
・  ＲＮＰデータ送出（ＲＮＰ−ＤＦ）  −  図３中のアイテム３１９と３２０。
【００８８】
ＲＮＰプロトコルは、タイプフィールド(図７アイテム７０４)を指定するＲＮＰヘッダ方法を介し、任意の数のサブプロトコルに拡張可能である。図３が示すように、ＲＮＰコモンヘッダ(図３アイテム３０４)に続いている情報は、ＲＮＰサブプロトコル特定ヘッダ（図３アイテム３０５)で、ＲＮＰサブプロトコルスペシャルデータによって後続されている。
【００８９】
ＲＮＰ−ＲＣサブプロトコルのためのサブプロトコルヘッダは、図２４に例示するように以下の情報を含んでいる：
・  ＲＮＰ−ＲＣ−バージョン（２バイト）  −  ＲＮＰ−ＲＣサブプロトコルのバージョン（アイテム２４０２）
・  プリミティブタイプ  −  アクションプリミティブのタイプは、ＲＮＰ−ＲＣファンクション（アイテム２４０３）を操作するために使用される
・  トランザクション識別子  −  トランザクションがワイヤレスコントローラによって開始されれば、このフィールドはＩＤを含む。アクセスポイントからのレスポンスは、レスポンス（アイテム２４０４)による要求を整合するためにこの識別子を含むであろう。
・  コンテントレングス  −  メッセージコンテント（アイテム２４０５）の長さ
・  コンテント  −  ＲＮＰ−ＲＣサブプロトコル特定データ（アイテム２４０６）
【００９０】
ＲＮＰ−ＲＣプロトコル方法は、下記のテーブルのようにプリミティブを定義する。(下記テーブルにおいて、アクセスポイントはＡＰとして略されて、ワイヤレスコントローラサービスポイントはＳＰとして略される。
【００９１】
ＲＮＰ−ＲＣプリミティブ
【００９２】
2007532043.tif 000002
【００９３】
このＲＮＰ−ＲＣサブプロトコルのキー利点は、オプション(管理された無電局オプション)名と要求の発見、コンフィギュレーション、及びマネジメントである。
【００９４】
図２４は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＡＰＡＢＩＬＩＴＩＥＳパケット（２４１０）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＡＣＣＥＰＴパケット（２４２０）の一実施例を示す。図２５は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＯＮＦＩＧＵＲＥパケット（２５００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＯＮＦ＿ＲＥＳＰパケット（２５１０）を示す。図２６は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＯ＿ＳＥＴパケット（２６００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＳＥＴ＿ＲＥＳＰパケット（２６１０）を示す。図２７は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＯ＿ＧＥＴパケット（２７００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＯ＿ＧＥＴ＿ＲＥＳＰ（２７１０）を示す。図２８は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＴＲＡＰパケット（２８００）、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＥＡＳＵＲＥＭＥＮＴパケット（２８１０）、及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＮＡＭＥ＿ＲＥＱＵＥＳＴパケット（２８２０）を示す。図２９は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＯＮＮＥＣＴパケット（２９００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿Ｌｏｇパケット（２９１０）を示す。
【００９５】
図３０は、ＲＮＰ−ＲＣサブプロトコルとのサンプルプロトコル交換を示す。
【００９６】
ＲＮＰ−ＳＭプリミティブ
【００９７】
2007532043.tif 000003
【００９８】
図３１乃至３５は、ＲＮＰ−ＳＭサブプロトコルサブストリームパケットのためのパケットフォーマットを示す。
【００９９】
ＲＮＰ＿ＤＴサブプロトコル
ＤＮＰ−ＤＴメッセージの現実の実施例は、ＲＮＰ−ＤＴサブプロトコルをサブストリームに分割して、サポートしない。
【０１００】
ＲＮＰ＿ＤＦサブプロトコル
ＤＦサーバーは、有線ネットワークにトンネルを接続したポイントである。ＤＦクライアントは、トンネルにワイヤレスアクセスポイント（ＡＰ）をインタフェースするポイントである。ＤＦクライアントの実施例は、ＡＰとすることができる。ＤＦサーバーの実施例は、ＡＰ又はスタンドアロンの設備とすることができる。これらのサブプロトコルプリミティブのそれぞれは、リクエスト／レスポンスのためにフィールドを持っている。接続の一端（ＤＦ−サーバー又はＤＦ−クライアント)は、’’リクエスト（要求）’’メッセージを送り、接続の遠隔端（ＤＦ−サーバ又はＤＦ−クライアント）は、’’レスポンス’’メッセージを送る。
【０１０１】
2007532043.tif 000004
【０１０２】
ＲＮＰ−ＷＰサブプロトコル
ＲＮＰ−ＷＰサブプロトコルはＷｅｂポータル機能をサポートする。Ｗｅｂポータル機能は、正確な情報を得るためにデータをＷｅｂポータルと交換するために必要であった情報にトラフィックを制限する。ＲＮＰ−ＷＰサブプロトコルの現実の実施例は、どのようなサブプロトコルプリミティブも持っていない。
【０１０３】
エンタープライズネットワークにアクセスする安全なレイヤー２を提供するためのこのアプローチの利点は、以下を含む：
・  統合されたインフラストラクチャー。
・  企業は軽量の、または重いアクセスポイントを利用することができる。
・  レイヤー２エンタープライズネットワークを家とパブリックインターネット施設に拡張する。
・  リモートの企業とプリンタ、ＩＰファックスサービス等のローカル資源の両方への同時アクセスのためのオプション。
・  企業ベースのＩＤＳ、ファイアウォール、及びウイルススキャニングをてこ入れする企業の通過だけがインターネットにアクセスするためのオプション。
・  企業キャンパスの中の軽量で、重いアクセスポイントの同時の共同存在は、これらのデバイスの間にシームレスなモビリティを含む。
・  スタンダードは、安全なレイヤー２有線連結性をベースにする。
・  携帯電話のローミングへの簡単なＶｏＩＰ。
【０１０４】
本発明は、企業がリモートアクセスと同様に、両方のローカルキャンパスのワイヤレスアクセスのために同じワイヤレスＬＡＮスイッチを利用することを可能にする統合されたインフラストラクチャーを提供する。現在の使用可能なリモート連結性の解決策とは異なり、ＬＡＮのためにインフラストラクチャーを分離し、ＷＡＮ連結性は展開される必要がない。ＩＴスタッフのために、企業キャンパス上でワイヤレスＬＡＮ展開がリモートアクセスのために作動するので、これは、必要とされているテクニカルサポートの値における減少を含めて、資本及び操作可能な経費の両方を節約する。エンドユーザーのために、これは、リモート連結性及びローカル企業連結性のための挙動が同じになるであろうということを意味している。統合されたインフラストラクチャーは、また、レイヤー２ネットワーキングプロトコルとサービスがリモートユーザーのために使用可能で、従ってリモートユーザーに企業キャンパスネットワークの完全な能力を提供することを意味している。これはいくつかのポリシーベースのレイヤー２能力でも拡張することを含み、企業がリモートユーザーにそのキャンパス中で実行し得る。
【０１０５】
企業は、軽量のアクセスポイント(企業によってより容易に管理される)、重いアクセスポイント(より高価でなく、パブリックインターネットアクセス施設でより遍在する)、又は、両方のコンビネーションを使うことができる。軽量のアクセスポイントは、企業にローカル無線環境の集中制御を与えるためにキャンパスの中で展開されることができる。リモートユーザーのために、トラッドな重いアクセスポイントは、パブリックインターネットアクセスセッティングに用いられることができる。企業は、企業ニーズに依存して、家庭とブランチオフィスのアプリケーションのために重い又は軽量のアクセスポイントの何れかを使うことを望むかもしれない。企業の中で、既存の重いアクセスポイントのコンビネーションは、軽量のアクセスポイントによって増大されることができる。
【０１０６】
ＷｉＦｉ  ＶＰＮは、エンタープライズネットワークを従業員の家に拡張することができる。従業員は、家で彼らのラップトップをオープンし、特殊なリモートＶＰＮクライアントソフトウェアを起動することを必要とせずに直ちに企業レイヤー２ネットワークと接続することができる。従業員は、企業から従業員の家に音声通信を可にするためにまたＶｏＷＬＡＮ電話を利用することができる。さらに、従業員は、ＶｏＷＬＡＮ電話から企業音声インフラストラクチャーを利用している音声通信を開始することができる。
【０１０７】
トレッドなレイヤー３ＶＰＮの解決策のように、ブランチオフィスのためのＷｉＦｉ  ＶＰＮは、高価な専用回線接続と対照的にインターネット接続を介してブランチを企業本部と接続することによって企業が有効な経費節減を実現することを可能にする。トラッドなＶＰＮの解決策とは異なり、ＷｉＦｉ  ＶＰＮはレイヤー２で動作するので、ブランチオフィス内の従業員は、企業キャンパス上で使用可能な同じレガシーアプリケーションにアクセスすることができる。企業の既存のレイヤー２ネットワークを拡張することによって、本発明は、また企業からポリシーベースレイヤー２ネットワーキングを拡張し、ブランチオフィス内でＩＰアドレス指定を簡素化する。
【０１０８】
従業員が道路の上にいて、ホテルブロードバンド方式接続又はホットスポット等のパブリックインターネットアクセス機能を使っている時に、彼らは一般に、ブラウザを使って、パブリックインターネット機能にログインし、それから彼らのリモートＶＰＮクライアントを起動しなければならない。この面倒なプロセスの代わりに、本発明は、インターネット上で存在する企業のＷｉＦｉ  ＶＰＮのパブリックインターネットＩＰアドレスとＵＤＰポート番号に連結性を許すためにパブリックインターネットプロバイダーが従業員の企業とビリング配置を協議することを可能にする。企業は、その時、ビリング目的のためにプロバーダーにＷｉＦｉ  ＶＰＮクライアントの成功した接続を信号で伝えることができる。この機能性は、異なる企業から２人の各個人がホットスポットで単に彼らのＰＣのふたをオープンすることを可能にし、それらはそれぞれ１つのキーストロークまたはマウスの移動を実行せずに彼らの企業施設に自動的に接続されるであろう。
【０１０９】
すべてのＩＰトラフィックがレイヤー２ＷｉＦｉ  ＶＰＮ接続を通ってそらされれば、レイヤー２ＷｉＦｉ  ＶＰＮ企業連結性についての１つの潜在的な問題が起こる。この限界は、ＷｉＦｉ  ＶＰＮクライアントのフォームを得る従来のＶＰＮソフトウェアと同じ操作挙動を有するバーチャルインタフェースソフトウェアの使用を通じて克服されることができる。ＩＰルーティングは、クライアントによってローカルでルートの決まられた物理的なワイヤレス(又は有線)インタフェースを使用しているローカルに(プリンタ、ＩＰファックス・マシン等)到達可能なデバイスように、既存のレイヤー３ＶＰＮクライアントの方法でＷｉＦｉ  ＶＰＮクライアント上で設定されることができる。
【０１１０】
代わりに、企業が、ローカル資源に達することから有線又はワイヤレスのインタフェースを防止することを望むならば、ＷｉＦｉ  ＶＰＮクライアントは、クライアントデバイス上の適切なＩＰルーティングテーブルを設定することによって、全てのトラフィックのための使用することができる。これは、企業のインターネット接続を利用するために、インターネットに出るクライアントハードウェアと企業との間の全てのトラフィックを強制する。結果として、ＩＤＳ、ＩＤＰ、ファイアウォール、及びアンチウィルスプログラム等の企業ツールは、リモートユーザーに適用されることができる。これは、ソフトウェアをコントロールするためにシークしている企業、及び企業のクライアントハードウェアデバイスに入るエージェントのための望ましい機密保護モデルとし得る。
【０１１１】
ＷｉＦｉ  ＶＰＮクライアントの別の利点は、それがトラッドな重いアクセスポイントと軽量のアクセスポイントの間で同時並存を許すことである。本発明に応じたＷｉＦｉ  ＶＰＮクライアントによって、シームレスローミングは、重いアクセスポイントと軽量のアクセスポイントとの間で遂行されることができ、両方ともＷＬＡＮスイッチの同じネットワークに接続している。ローミングに加えて、本発明の中で説明されたすべてのワイヤレス利点は、重いアクセスポイント及び軽量のアクセスポイントの両方にあてはまる。
【０１１２】
本発明は、ワイヤレス及び有線ＬＡＮの両方ともに適用可能である。ＷｉＦｉ  ＶＰＮクライアントのバーチャルインタフェースが有線ＬＡＮに接続されている時に、ワイヤレスＬＡＮスイッチは、ワイヤレスＬＡＮトラフィックが暗号化されために使用される同じ８０２．１ｘ、ＷＰＡ、及び８０２．１１ｉ技術を使っている有線トラフィックを暗号化するために暗号化有線スイッチとして役立つことができる。
【０１１３】
ＶｏＷＬＡＮによる要求は、どのようにＶｏＷＬＡＮと携帯電話の音声コールとを統合するかを決定している。ＷｉＦｉ  ＶＰＮによって、ＶｏＷＬＡＮコールは、企業で終了されることができる。このメカニズムの１つの利点は、どのようなＶｏＷＬＡＮ送受器でもどのようなホットスポットででも使用されることができる、それは、ＷｉＦｉ  ＶＰＮを使用しているもとの企業ＶｏＩＰインフラストラクチャーに接続されることによる。これは、オフザシェルフＶｏＷＬＡＮ送受機がＶｏＷＬＡＮのために本質的にどのようなホットスポットによってでも使用することができ、送受器ユーザーが、単に、該送受器ユーザーの企業拡張に電話することによって世界中どこででも到達可能であることを意味する。ホットスポットの範囲外ならば、携帯電話ネットワークとの統合は、コールを送受器の携帯電話番号から企業のＤＩＤ番号に転送する単純な問題になり、送受器であれば逆もまた同様になる。これはまた、契約業者／臨時従業員の場合のように、直列方式での複数の企業による企業拡張として使われることを、同じ携帯電話番号を有する同じ送受器が可能にする利点を持っている。
【０１１４】
本発明の実施例は、Ｌ２ＴＰやＧＲＥ等の既存のプロトコルより様々な利点を持っているリモートネットワークプロトコル（ＲＮＰ）を含む。いくつかの実施例において、ＲＮＰは、無線（ラジオ）、ステーション認証、及びステーショントラフィックをコントロールし、傍受するために、別個のＵＤＰポート番号を使う。これは、パケットを分類するスイッチ上のコンピュータ処理の負荷をそれらの内容に従って減少させる。それは、また、ステーション認証パケットがデータパケットをブロック化することを防止する。パケットは、代わりにそれらのポート番号に基づいたハードウェアに分類されることができ、それは性能を改善する。ＴＣＰが遅い始動のメカニズムで、軽量のアクセスポイントのためのコンピュータ処理の必要要件を増大させる追加のプロセッシングオーバーヘッドを有するので、ＲＮＰのＵＤＰ性質はまた非常に重要である。
【０１１５】
スイッチアーキテクチャとともにＲＮＰは、すべての時間無反応８０２．１１ＭＡＣレイヤーオペレーションがＷＬＡＮスイッチ上で行われ、時間感応８０２．１１オペレーションが軽量のアクセスポイント上で行われるであろうと仮定する。この８０２．１１レイヤー機能性のスプリットは、ＲＮＰプロトコルが変更する待ち時間よってワイドエリアネットワークを横切る待ち時間トレラントであることを可能にする。不正確なスプリットによって、同様なアプローチはワイドエリアネットワークを横切って適切に動作することができない。データ転送のために、軽量のアクセスポイント上でハイパフォーマンスと低いコンピュータ処理オーバーヘッドを保証するために、ＲＲＰプロトコルは、低いフレームオーバーヘッドを使用する。低いオーバーヘッドは、またＷＬＡＮスイッチ上の性能を補助する。
【０１１６】
この発明の実施例において、ワイヤレスクライアントステーションからの８０２．１１フレームは、ＡＰでＲＦ／ワイヤレスメッシュベースディストリビューションシステムに入り、メッシュ内の他のＡＰ上のＲＦインタフェースを介してインテグレーションサービスポータルに掛け渡されるとともにルートが決定される。システムは、８０２．１１ｉ又はステーショントラフィックがＲＦメッシュに入るＡＰ上の他の暗号化を終了しない。代わりに、フレームは、クライアントトラフィックを暗号解読するために、セキュリティステイトを有するネットワーク内の、有線ネットワーク、又は、ワイヤレスＬＡＮスイッチ、又は、アクセスコントローラ、又は他のデバイスを入植するポイントまでのワイヤレス（８０２．１１）インタフェース上のＲＮＰを介して暗号化フォーマットに掛け渡される。このアプローチは、現在のワイヤレススタンダードと慣例とによって指定されるホップ毎の暗号化を避ける。
【０１１７】
信頼性についてのＲＮＰプロトコルのアプローチは、Ｌ２ＴＰをＧＲＥと比較しても独特である。総称のプロトコルによって、すべてのトラフィックは同一に扱われる。クリティカルな８０２．１１及び８０２．１ｘ認証の搬送保証、及び、レガシープロトコルによる団体フレームのために、すべてのパケットは何とかして搬送を保証されなければならず、有効なオーバーヘッドと遅延を搬送の保証が必要でないデータフレームに追加することができる。搬送が単に保証されていないならば、ネットワークへの成功した認証はより信頼できなくなり、特に、一般に高いパケットエラー率があるインターネット等のワイドエリアパブリックネットワークを横切る。コントラストによるＲＮＰアプローチによって、アプリケーションレベル搬送保証は、ステーション認証情報を搬送するＵＤＰポート上でメンテナンスされ、ステーショントラフィックは、ハイパフォーマンスのために搬送保証なしで異なるＵＤＰポートに乗る。ＴＣＰのようなスライディングウィンドウ、又はリターンフレーム上のピギーバッキング肯定応答を実行するというよりも、それが各メッセージを認証するので、ＲＮＰアプローチもまた、認証トラフィックのためにハイパフォーマンスである。複数のステーションが同じ軽量のアクセスポイントに接続され得るので、’’ストリーム’’の概念は、無線に接続した異なるステーションをデマルチプレックス（逆多重化）するために使用される。各個人のステーションがストリームに地図を作られることができ、また、軽量のアクセスポイントに接続されたすべてのステーションのために新しいＵＤＰポートを開く必要を削除するので、これは性能を改善する。
【０１１８】
ＲＮＰは、端点が異なるデバイス上で終了することができるので、柔軟である。例えば、ＲＮＰ−ＳＭ及びＲＮＰ−ＤＴがクライアント上で始まるならば、クライアントはＷｉＦｉ  ＶＰＮクライアントソフトウェアを有する。アクセスポイントから始まるＲＮＰ−ＳＭ、ＲＮＰ−ＤＴ、及びＲＮＰ−ＲＣとともに、軽量のアクセスポイントは使用される。ＲＮＰトンネルの終了は、１つのワイヤレスＬＡＮスイッチに限定される必要がない。例えば、ＲＮＰ−ＲＣは、ＲＮＰ−ＳＭと異なるデバイス上で終了し、それはＲＮＰ−ＤＴと異なるデバイス上で終了し得る。これは、例えば、一方のデバイスが、多くの軽量のアクセスポイントを管理するために最適化されて、別のデバイスが、８０２．１ｘ認証を終了させるために最適化されて、別のデバイスがデータ暗号化と伝送を実行するために最適化されることをその中にあるワイヤレスＬＡＮスイッチアーキテクチャが可能にし得る。
【０１１９】
ＷｉＦｉ  ＶＰＮクライアントは、多くの問題を解決する。ＷｉＦｉ  ＶＰＮアプリケーションが、ブランチオフィス、遠隔ホームオフィスで企業連結性及びホットスポット連結性に含めて、どこで展開されても、ＷｉＦｉ  ＶＰＮなしでアクセスポイントにＲＮＰプロトコルをロードすることは普通に必要である。実用科学において、これはＷｉＦｉ  ＶＰＮの展開の容易さを制限する。コントラストによるＷｉＦｉ  ＶＰＮクライアントによって、既存の重いアクセスポイントが、トラフィックをワイヤレスＬＡＮスイッチに提供するために操作の平文(暗号化しない)モード内で修正なしで使用できるので、展開はずっと容易である。有線ＬＡＮのために８０２．１１セキュリティ技術をてこ入れすることによって、ＷｉＦｉ  ＶＰＮクライアントは、また暗号化された有線ＬＡＮトラフィックを使用可能にする。ＷｉＦｉ  ＶＰＮクライアントへの別のＬＡＮ利点は、ワイヤレスステーションが、ワイヤレスＬＡＮスイッチと、重いアクセスポイント及び軽量のアクセスポイントの混合とを含むネットワークに接続し得る。このネットワークにおいて、アクセスポイントからアクセスポイントへのワイヤレスステーションの移動はシームレスに処理される。ワイヤレスＬＡＮスイッチを有する他のアプローチは、ワイヤレスＬＡＮスイッチでＩＰＳｅｃ又は他のレイヤー３ＶＰＮターミネーションを利用し、重いアクセスポイントから軽量のアクセスポイントにワイヤレスステーションの移動を許可しない。
【０１２０】
ＷｉＦｉ  ＶＰＮアプリケーションをサポートするために、ワイヤレスＬＡＮスイッチは、ワイヤレスＬＡＮ暗号化アルゴリズムだけでなく両方ともユーザー認証を終了させる。現在のデザインの選択の前に考慮される異なる選択肢は、開示において詳説される。市販されている暗号製品は、ＲＣ４等のハイスピードワイヤレスＬＡＮ暗号化暗号のために使用可能ではないので、特注のＦＰＧＡがアプリケーション固有の暗号手法を提供する。
【０１２１】
ワイヤレスＬＡＮスイッチ又はコントローラアーキテクチャは、カレントスタンダードに基づいたＰＭＫを得る８０２、１１ｉ認証コンポーネントを提供する。
【０１２２】
この発明において説明されるＰＭＫシェアリングは、ＰＭＫがワイヤレスネットワークデバイスを横切ってシェアリングされ、ＩＰ上（ワイヤレス上）の音声等のアプリケーションのために、ローミング待ち時間を減少させることを可能にし、その間に
・  認証、ワイヤレスクライアント、及び認証サーバーの間に信頼バインディングを保存する。
・  ネットワークにアクセスするワイヤレスクライアントをコントロールするために能力と柔軟性を保存する。例えば、スキームを基にした許可トークンは、企業が特定ＡＰへのローミングを禁止することを可能にする。
【０１２３】
ＷｉＦｉ  ＶＰＮ発明は、企業がＷＩＳＰインフラストラクチャーをシェアリングすることを可能にする。この発明によって、それらのネットワークへのアクセスをコントロールすることを可能にする間に、ＷＩＳＰは、ホットスポットサービスを提供し、ホットスポットサービス(企業にビジネスモデルをベースにした貸出料金を使用していることを示すことができる。同時に、このメカニズムは、またＷＩＳＰがどこにそのサービスを提供しても、与えられたクライアントアクセスのために１つの認証を利用する。さらに、それは、それらのそれぞれの企業に安全にアクセスする間、異なるクライアントがインターネット上でどこでも１つのＷＩＳＰインフラストラクチャーを使用することを可能にする。
【０１２４】
前記から、本発明の特定の実施例が説明の目的のためにここに記述されていることは高く評価されるが、様々な修正は、発明の特質と範囲から逸脱せずに行うことが可能である。それに応じて、本発明は付加された請求項を除いて制限されない。
【図面の簡単な説明】
【０１２５】
【図１】図１は、本発明の実施例に基づくＳＴＡ−−−ＡＰ−−Ｌ２／Ｌ３ネットワークＷＶＬＡＮを例示する。
【図２】図２は、本発明の実施例に基づく暗号化の複数のタイプを例示する。
【図３】図３は、ＫＮＰプロトコルの実施例の説明図である。
【図４】図４は、ＩＰトンネル中のＩＰの実施例とＧＲＥトンネルの実施例を例示する。
【図５】図５は、ＭＰＬＳトンネルの実施例を例示する。
【図６】図６は、区別されたサービスＴＥトンネルの実施例、ＴＥの実施例を例示する。
【図７】図７は、本発明の実施例に基づくＲＮＰプロトコルヘッダを例示する。
【図８】図８は、本発明の実施例に基づくヘッダ経由を介して５つのサブトンネルに入るＲＮＰプロトコルデータの流れを例示する。
【図９】図９：本発明の実施例に基づくＲＮＰ仮想クライアント(ＲＲＰ)の実施例を例示する。
【図１０】図１０は、本発明の実施例に基づく代表のＷｉＦｉ  ＶＰＮクライアント中の操作及びパケットフローを例示する。
【図１１】図１１は、本発明の実施例に基づき、８０２．１１ｉ、ＷＰＡ、ＷＰＡ２、暗号化されなかったＲＣ−４中で暗号化されたレイヤー２を例示する。
【図１２】図１２は、本発明の実施例に基づくインプリンティングステップを例示する。
【図１３】図１３は、本発明の実施例に基づくアクセスポイントのためにステイトマシンを例示する。
【図１４】図１４は、本発明の実施例に基づくＲＮＰ−ＲＣメッセージ用のメッセージフォーマットを例示する。
【図１５】図１５は、本発明の実施例に基づくアクセスポイントステイトマシン当りのＷＬＡＮ当りの１つを例示する。
【図１６】図１６は、本発明の実施例に基づくタプルのセキュリティキー（ＶＬＡＮ、ＢＢＳＩＤ、セキュリティタイプ)によるセキュリティモデルを例示する。
【図１７】図１７は、本発明の実施例に基づくセキュリティキーからユニキャスト、ブロードキャスト、及びマルチキャストトラフィックのＬＥＫ／ＲＥＫ暗号化を例示する。
【図１７ａ】図１７ａは、本発明の実施例に基づくブロードキャスト／マルチキャストのセパレーションを例示する。
【図１７ｂ】図１７ｂは、本発明の実施例に基づくユニキャストセパレーションを例示する。
【図１８】図１８は、本発明の実施例に基づくＬＥＫ／ＲＥＫ暗号化によってＲＮＰバーチャルクライアントを例示する。
【図１８ａ】図１８ａは、本発明の実施例に基づくＲＮＰバーチャルクライアント−ＬＥＫ、ＲＥＫ誘導、及びＲＮＰバーチャルクライアント暗号化を例示する。
【図１８ｂ】図１８ｂは、ＲＲＰクライアント−ＬＥＫ／ＲＥＫ誘導、及びＲＮＰバーチャルクライアントを例示する。
【図１８ｃ】図１８ｃは、本発明の実施例に基づくローカルＡＰ及びＷＬＡＮコントローラによってＲＲＲＰクライアントトラフィック暗号解読を例示する。
【図１８ｄ】図１８ｄは、本発明の実施例に基づくローカルＡＰ及びＷＬＡＮコントローラによる−ＲＲＰクライアントトラフィック暗号化を例示する。
【図１９】図１９は、本発明の実施例に基づくＬＥＫ及びＲＥＫ暗号化フレームフォーマットを例示する。
【図２１】図２１は、本発明の実施例に基づくワイヤレスメッシュのＷｉＦｉ  ＶＰＮを例示する。
【図２２】図２２は、本発明の実施例に基づくＰＭＫシェアリング  例えばＰＭＫ／Ｓ−ＰＭＫフローを例示する。
【図２３】図２３は、本発明の実施例に基づくＰＭＫシェアリングパケットフローを例示する。
【図２４】図２４：本発明の実施例に基づくＲＮＰ−ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２５】図２５：本発明の実施例に基づくＲＮＰ  ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２６】図２６：本発明の実施例に基づくＲＮＰ  ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２７】図２７：本発明の実施例に基づくＲＮＰ＿ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２８】図２８：本発明の実施例に基づくＲＮＰ−ＲＣパケット＃５のためのプロトコルＰＤＵを例示する。
【図２９】図２９：本発明の実施例に基づくＲＮＰ＿ＲＣパケット＃６のためのプロトコルＰＤＵＳを例示する。
【図３０】図３０：ＲＮＰ＿ＲＣとのプロトコル交換を例示する。
【図３１】図３１：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃１のためのプロトコルＰＤＵを説明する。
【図３２】図３２：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃２のためのＲＮＰ  ＰＤＵを例示する。
【図３３】図３３：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃３のためのＲＮＰ  ＰＤＵを例示する。
【図３４】図３４：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃４のためにＲＮＰ  ＰＤＵを例示する。
【図３５】図３５は、本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃５のためにＲＮＰ  ＰＤＵを例示する。
【図３６】図３６は、ＲＮＰ−ＳＭサブプロトコルとのＲＮＰ  ＰＤＵ交換を例示する。
【図３７】図３７は、８０２．１認証とのＲＮＰ交換を例示する。
【図３８】図３８は、本発明の実施例に基づくＲＮＰ−ＤＴサブプロトコルのためのＲＮＰパケットを例示する。
【図３９】図３９は、本発明の実施例に基づくＲＮＰ−ＤＦサブプロトコル（＃１）のためのＲＮＰパケットを例示する。
【図４０】図４０は、本発明の実施例に基づくＲＮＰ−ＤＦサブプロトコル（＃２）のためのＲＮＰパケットを例示する。
【図４１】図４１は、本発明の実施例に基づくＲＮＰ−ＷＰサブプロトコルのためのＲＮＰパケットを例示する。
【図４２】図４２は、本発明の実施例に基づくアソシエーションのためのＳＭ及びＤＦを示すＲＮＰパケットフローを例示する。
【図４３】図４３は、本発明の実施例に基づくリアソシエイションを示すＲＮＰパケットフローを例示する。
【図４４】図４４は、本発明の実施例に基づくインプリンティング及びＲＮＰセキュリティを示す：ＲＮＰパケットフローを例示する。
【図４５】図４５は、本発明の実施例に基づくＲＮＰ−ＷＰのためのＲＮＰ  ＰＤＵフローを例示する。
【図４６】図４６は、本発明の実施例に基づく共有のＷＩＳＰインフラストラクチャー上の企業認証を例示する。
【図４７】図４７は、本発明の実施例に基づく共有のＷＩＳＰ上の企業認証を例示する。
【図１】
2007532043.tif 000005
【図２】
2007532043.tif 000006
【図３】
2007532043.tif 000007
【図４】
2007532043.tif 000008
【図５】
2007532043.tif 000009
【図６】
2007532043.tif 000010
【図７】
2007532043.tif 000011
【図８】
2007532043.tif 000012
【図９】
2007532043.tif 000013
【図１０】
2007532043.tif 000014
【図１１】
2007532043.tif 000015
【図１２】
2007532043.tif 000016
【図１３】
2007532043.tif 000017
【図１４】
2007532043.tif 000018
【図１５】
2007532043.tif 000019
【図１６】
2007532043.tif 000020
【図１７】
2007532043.tif 000021
【図１７ａ】
2007532043.tif 000022
【図１７ｂ】
2007532043.tif 000023
【図１８】
2007532043.tif 000024
【図１８ａ】
2007532043.tif 000025
【図１８ｂ】
2007532043.tif 000026
【図１８ｃ】
2007532043.tif 000027
【図１８ｄ】
2007532043.tif 000028
【図１９】
2007532043.tif 000029
【図２１】
2007532043.tif 000030
【図２２】
2007532043.tif 000031
【図２３】
2007532043.tif 000032
【図２４】
2007532043.tif 000033
【図２５】
2007532043.tif 000034
【図２６】
2007532043.tif 000035
【図２７】
2007532043.tif 000036
【図２８】
2007532043.tif 000037
【図２９】
2007532043.tif 000038
【図３０】
2007532043.tif 000039
【図３１】
2007532043.tif 000040
【図３２】
2007532043.tif 000041
【図３３】
2007532043.tif 000042
【図３４】
2007532043.tif 000043
【図３５】
2007532043.tif 000044
【図３６】
2007532043.tif 000045
【図３７】
2007532043.tif 000046
【図３８】
2007532043.tif 000047
【図３９】
2007532043.tif 000048
【図４０】
2007532043.tif 000049
【図４１】
2007532043.tif 000050
【図４２】
2007532043.tif 000051
【図４３】
2007532043.tif 000052
【図４４】
2007532043.tif 000053
【図４５】
2007532043.tif 000054
【図４６】
2007532043.tif 000055
【図４７】
2007532043.tif 000056
【手続補正書】
【提出日】平成17年8月30日(2005.8.30)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【書類名】明細書
【発明の名称】ワイドエリアネットワークを横切る安全なスタンダードベースの通信
【技術分野】
【０００１】
本発明は、コンピュータネットワーキングのフィールド、特には、ネットワーキングプロトコルと連携して使われたデータ暗号化技術に関する。
【背景技術】
【０００２】
企業は、その従業員のためにエンタープライズネットワークにリモートの連結性を提供することを一般に追求する。例えば、リモートの連結性は、以下の物理的なロケーションで従業員によって使用され得る：
従業員の家
ブランチオフィス
・  ＷＩＳＰ
・  ホテル
・  公衆電話
【０００３】
その問題は、そのリモートの連結性が、使用可能なオーバーレイインフラストラクチャーを必要としていることである。これは、ＩＴスタッフに負担を課し、既存のエンタープライズ（企業）インフラストラクチャー上でメンテナンスと資本支出を増大させ、そして、一般に、彼らの物理的なロケーションに依存している、すなわち、彼らが企業内又は遠くから、エンタープライズネットワークを使うかどうかにかかわらず、コンピュータアクティビティのパターンを変更することを従業員に要求する。さらに、遠隔接続された従業員は、彼らがアクセスすることができるリソースの条件が制限され、；特別な措置がＩＴスタッフによってとられない限り、従業員は企業内に居る時に、しばしば彼らが定期的に使うことができるリソースへのリモートアクセスが拒否される。
【０００４】
エンタープライズネットワークへのリモートアクセスを容易にするために、一般に企業は従業員にＶＰＮサービスを提供する。レイヤー３で動作するＶＰＮは、企業と接続するためにＶＰＮのユーザーが彼らのブロードバンド方式インターネット接続を高速で利用することを可能にする。ＶＰＮは、レイヤー３で動作するので、従業員がインターネットに接続するブロードバンド方式として、ケーブルモデム、ＤＳＬ、固定されたワイヤレス、または他の方法を使うかかと無関係に、それは作動する。
【０００５】
ＶＰＮアプローチについての１つの問題は、ユーザーが企業と遠隔的に接続する時に、企業へのローカルアクティビティの普通のパターンに比べ、異なる作動を採用するという必要条件である。例えば、ローカルユーザーは、イーサネットケーブルによって既存のネットワークに接続するか、８０２．１１の企業ワイヤレスネットワークを使用し得る。しかし、ユーザーが彼らの家や、空港、またはＷｉＦｉホットスポット等の遠隔地にいる時に、彼らは、企業と接続するために彼らのＶＰＮクライアントを起動することが要求される。
【０００６】
システムアドミニストレータ（管理責任者）に対し、ＶＰＮは、一般に、ローカル企業エッジアクセスインフラストラクチャーと独立して配置されるセパレートリモートアクセスインフラストラクチャーに関係している。一般に、ＶＰＮサーバーがレイヤー３連結性だけを提供するので、多くのレガシーレイヤー２アプリケーションはＶＰＮを横切って作動しない。これらのレガシーアプリケーションが、レイヤー３ネットワークを横切り、例えばアプリケーションレイヤーゲートウェイの使用を通して作業することを可能にされることができる間、そのような追加のゲートウェイは、さらにメンテナンスと資本支出をＩＴスタッフに要求する。
【０００７】
企業リソースへの完全なアクセスが遠く離れて使用可能になるように、企業にレイヤー２連結性を提供するために、複数の解決策は存在している。これらの解決策は以下を含む：
・  ダイアルアップ
・  ＤＳＬ
・  ライセンスされたスペクトルの上でのキャリアワイヤレスデータサービス
・  独占的なレイヤー２クライアント
・  ２倍の暗号化で機能するワイヤレスアクセスポイント
【０００８】
レイヤー２連結性を提供するためのダイアルアップＰＯＴＳアクセスはＲＡＳ製品によって提供され得る。しかし、ダイアルアップは、失われた接続のための主体であり、家で電話回線を消費し、帯域幅を制限した。
【０００９】
ＤＳＬＡＮがＤＳＬラインを終了させたものであったと企業が認めているならば、ＤＳＬアクセスは、企業にレイヤー２連結性を提供することができる。しかし、提供する企業のために、ＤＳＬレイヤー２連結性は、かなりの費用に関係し、最も大きなものが従業員から企業にコパーライン（copper lines）を提供している。ＤＳＬアクセスは、キャリアからリースされ得るが、これも高コストに関係している。さらに、ＤＳＬアクセスは、しばしば、従業員のＤＳＬラインとＤＳＬＭとの間で、距離制限(ＤＳＬが一定の距離を越えて動作しないであろうということによる)という理由により、従業員に一般的に提供することができない。
【００１０】
ライセンスされたスペクトルの上のキャリアワイヤレスデータサービスは、スプリントやVerizon（バージョン）などのキャリアによって提供された高速な携帯電話データサービスを含む。これらのサービスは、一般的に使用可能でない。また、キャリアワイヤレスデータサービスは、８０２．１１やイーサネットに比べての帯域幅中で(現在のところ)制限される。
【００１１】
独占的なレイヤー２クライアントは、暗号化されたイーサネット、ＡＴＭ、及び８０２．１１の技術を使って、企業リソースに安全な有線、及びワイヤレスＬＡＮのアクセスを提供するために何年もの間存在していた。これらのアプローチについての問題は、企業に戻るワイドエリアの連結性を提供するために、専用のレイヤー２ワイドエリアネットワーク（ＷＡＮ）に関係している。８０２．１１の技術は、その制限された(３００ｆｔの屋内、１ｋｍのアウトドア)範囲のためワイドエリア上で展開されることができない。イーサネットは、制限されたワイドエリアアプリケーション中だけで展開され、ＤＳＬシナリオにおいて上述のように、遍在する受信地域の提供と同じ問題によるものである。ＡＴＭは、ワイドエリアネットワーク上で実施されるが、エンドユーザーへの専用のＡＴＭラインの対策が遅く、時間がかかりすぎるプロセスであるので、リモートアクセスのために従業員にＡＴＭサービスを提供することは高価で、一般に直ちに使用可能でない。
【００１２】
エンタープライズネットワークにレイヤー２連結性を提供するための別の可能性は、「２倍の暗号化」を実施する伝統的なアクセスポイントとともにある。暗号化の第１段階はワイヤレス媒体上にあり、８０２．１１ｉやＷＰＡ等の既存の安全なレイヤー２プロトコルを使う。暗号化の２番目のフェーズはアクセスポイントのつながった側面上にある。しかし、暗号化が始まる前に、アクセスポイントは、８０２．３のイーサネットに８０２．１１のトラフィックに掛け渡し、それからレイヤー３インターネットの横断用のトラフィックを用意するために、ＩＰ中でトラフィックをカプセル化すべく、Ｌ２ＴＰなどのＩＰ上でレイヤー２トンネルプロトコルを利用するために設定されなければならない。アクセスポイントは、ＩＰＳｅｃを使って、その時トラフィックを暗号化し得る。トラフィックは、ＩＰＳｅｃ  ＶＰＮコンセントレータによって企業の中で終了することができ、Ｌ２ＴＰヘッダは、ルータまたはＶＰＮコンセントレータによって外部から外されることができる。このアプローチについての問題は、ＶＰＮコンセントレータという形の別個のリモートアクセスインフラストラクチャーが、エンドユーザーにリモートの連結性を提供するために、いまだ企業によって必要とされていることである。上述のように、アクセスポイントが２倍の暗号化を提供することが計算的に高価なので、このアプローチは、また、貧弱なパフォーマンス、及び／又は高コストから損害を被るかもしれない。さらに、Ｌ２ＴＰ及びＩＰＳｅｃにおけるデータのカプセル化は、アクセスポイントとＶＰＮコンセントレータとの間のリンクの性能を低下させる。このメカニズムの追加のオーバーヘッドは、ＶｏＩＰなどの時間に敏感なアプリケーションの上に逆効果を及ぼし、またアクセスポイントとＶＰＮコンセントレータとの間のワイドエリアの接続の上で使用可能な有効なスループットを減少させるかもしれない。
【００１３】
ＳＯＨＯ／需要家の使用のために遍在する、低コストのワイヤレスＬＡＮ  ＮＩＣカードとアクセスポイントは、一般により高度なセキュリティが必要である企業環境で使用するための８０２．１１ｉやＷＰＡなどの安全なレイヤー２プロトコルの開発を駆り立てた。８０２．１１ｉ及びＷＰＡの両方は、ワイヤレスクライアントと有線（インターネットに接続された：Ｗｉｒｅｄ）ネットワークとの間で無線通信のために強いユーザー認証と暗号化を提供する。
【００１４】
また、別の可能性は、エンタープライズネットワークにレイヤー２連結性を提供するためにＲＦ／ワイヤレスメッシュベースディストリビューションサービスを使うことである。このモデルにおいて、ワイヤレスクライアントは、そのＲＦインタフェース経由のトラフィックを他のアクセスポイントに転送するアクセスポイントと結合することができる。トラフィックが有線ネットワークに入るまで、これらは次々トラフィックを他のアクセスポイントに転送し得る。このエントリのポイントは、８０２．１１の用語においてワイヤレスインテグレーションサービスポータルと名付けられる。空中でトラフィックを確保する１つの最適でないアプローチは、各ホップでＣＰＵとメモリのリソースとを消費するホップ毎の保護(暗号化と完全性)を使うことになっている。
【００１５】
現状の８０２．１１スタンダードと慣例は、それが関連したらワイヤレスクライアントと空中のＡＰとの間でトラフィックを保護するために、ＰＭＫ(ペアワイズマスターキー)として知られている共有された秘密キー情報を引き出すか、又は通用するＡＰの認証コンポーネントを指定する。このＰＭＫは、ワイヤレスクライアント、認証、および信頼された認証サーバー間での、それらのドメインのための信頼のセキュリティバインディングである。同じＥＳＳ及び／又は認証ドメインで、クライアントがローミング、又は別のＡＰに再び関連付ける際に、クライアントは、再び待ち時間をローミングプロセスに追加して、認証することを強制される。この待ち時間は、ネットワーク中のワイヤレスクライアントと別のデバイスとの間で潜在的にセッション(例えば音声)の割り込みが可能である。
【発明の開示】
【発明が解決しようとする課題】
【００１６】
現在、ワイヤレスＬＡＮプロトコルのセキュリティは、企業キャンパス中でクライアントによる企業使用に限定され、ワイドエリアレイヤー３インターネットを横切って拡張されることができない。この企業キャンパスへのワイヤレスセキュリティの限定は、少なくとも２つのソースを持っている：
１．  セキュリティは、アクセスポイントでローカルに終了し、すなわち、アクセスポイントの有線インタフェースはセキュリティ制限がないデータを転送する。従って、軽量のアクセスポイントでセキュリティを終了させる多くの軽量のアクセスポイント／ワイヤレススイッチコンビネーションだけでなく、ほとんどのアクセスポイントは、ワイドエリアネットワークを横切って安全に８０２．１１のレイヤー２トラフィックを搬送することができない。
２．  ワイドエリアネットワークを横切る８０２．１１ｉ又はＷＰＡなどの安全なレイヤー８０２．１１ベースプロトコルを搬送するための受信方法が現在存在しない。
【課題を解決するための手段】
【００１７】
本発明の実施例は、インターネットなどのワイドエリアレイヤー３ネットワークを横切って安全な連結性を企業レイヤー２ネットワークに与えることによって、セキュリティをエンタープライズネットワークからワイドエリアネットワークに拡張する。企業ネットワークにアクセスする安全なレイヤー２を提供するためのこのアプローチの利点は以下を含む：
・  統合されたインフラストラクチャー。
・  企業が軽量の、または重いアクセスポイントを利用することを可能にする。
・  レイヤー２エンタープライズネットワークを家と公開のインターネット施設に拡張する。
・  リモートする企業とプリンタ、ＩＰファックスサービスなどのローカル資源の両方への同時アクセスのためのオプション。
・  企業ベースのＩＤＳ、ファイアウォール、及びウイルススキャニングをてこ入れするために企業を通過するだけのインターネットにアクセスするためのオプション。
・  これらのデバイス間にシームレスなモビリティを含む、企業キャンパス中の軽量で、重いアクセスポイントの同時の共同存在。
・  連結性を有線化したスタンダードベースセキュリティーレイヤー２。
・  携帯電話のローミングをするための簡単なＶｏＩＰ。
【００１８】
本発明は、リモートアクセスと同様に、企業が両方のローカルキャンパスのワイヤレスアクセスのために同じワイヤレスＬＡＮスイッチを利用することを可能にする統合されたインフラストラクチャーを提供する。この機能は、テクニカルサポートへの要求と同様に、資本と操作可能な経費の両方をセーブする。それは、リモートの連結性及びローカル企業の連結性のための挙動が同じであり続けると保証することによって、エンドユーザーに透過的な連結性をサポートする。統合されたインフラストラクチャーは、リモートユーザーにレイヤー２ネットワーキングプロトコルへの可用性を容易にし、従って、リモートユーザーに企業キャンパスネットワークの完全な能力を提供する。これは、企業がリモートユーザーにそのキャンパス中で実行され得るポリシーベースレイヤー２の機能を拡張することを含む。本発明のこれら及び他の面はここにさらに説明される。
【発明を実施するための最良の形態】
【００１９】
本発明に基づき、インターネット等のワイドエリアレイヤー３ネットワークを横切る（越える）企業レイヤー２ネットワークに安全な連結性を与えることによって、ＷｉＦｉ  ＶＰＮはセキュリティを企業キャンパスからワイドエリアネットワークに拡張する。本発明の実施例は、独立して又は共同して動作可能な複数の構成装置を含み得る。そのようなコンポーネントのコンビネーションはＷｉＦｉ  ＶＰＮのために柔軟なフレームワークをサポートする。
【００２０】
レイヤー３ネットワークを横切る企業レイヤー２ネットワークのための許容セキュリティ連結性による、ワイドエリアを横切るエンタープライズネットワークからのセキュリティプロビジョンの拡張。
本発明の実施例において、エンタープライズネットワークのための守秘条項は、ルートプロトコルを使っているワイヤレスコントローラ／スイッチにワイヤレスステーション（ＳＴＡ）のためのトンネル８０２．１１マネジメント及びオプショナルレイヤー２データトラフィックによって拡張される。ルートの定められたトンネルプロトコルの制限されない例として以下を含む：
・  ＩＰ上のＵＤＰ、又は
・  ＩＰ  ｉｎ  ＩＰ（ＩＰ内のＩＰ）
・  ＩＰ−ｓｅｃ
・  ＧＲＥカプセル化、又は
・  ＭＰＬＳ
他の例は、熟練した技術から明白である。
【００２１】
トンネルは、軽量のアクセスポイントＡＰ及びＷＬＡＮスイッチ(レイヤー２／レイヤー３)、又はワイヤレスクライアント及びＷＬＡＮスイッチの間にある。ワイヤレス暗号化は、スイッチ／コントローラ上、又はＡＰ上で終了される。８０２．３までのブリッジングは、スイッチ／コントローラ、又はＡＰを偶然に見い出し得る。
【００２２】
図１は、この方法のロジックを示す。図１において、ＷＬＡＮスイッチでのＷｉＦｉ  ＶＰＮの終端(図のポイント１０５)。ワイヤレスステーション（１０１）は、ワイヤレスネットワーク（１０２）を横切るアクセスポイント（１０３）と接続する。軽量のアクセスポイント（１０３）で、トンネルは、レイヤー２／レイヤー３ネットワーク（１０４）上でＡＰ（１０３）とワイヤレスコントローラ（１０５)との間で作成される。同じ方法で、ワイヤレスポイント１０６は、軽量のアクセスポイント（１０８）に第２ワイヤレスネットワーク（１０７）上で接続する。ＬＷＡＰ（１０８）からワイヤレスコントロール（１０５）まで、トンネルは、ＩＰネットワーク（１０９）上で作成される。
【００２３】
図２は、様々なプロトコルを使用するいくつかの軽量のアクセスポイント（ＬＷＡＰ）（２０２、２１０、２１４）とワイヤレスコントローラスイッチ／ルータ（２０７）との間でのトンネルの作成及び使用方法の制限しない実施例を示す。図２に示された制限しない例において、ＬＷＡＰは、いくつかのワイヤレスステーション（２０１、２０８、２１２）をインターネットに接続する。図２は、トンネルの５つのタイプを示す：ＵＤＰ／ＩＰトンネル（２０３）、ＧＲＥトンネル（２０４）、ＩＰ  ｉｎ  ＩＰトンネル（２０５）、ＭＰＬＳラベルスイッチパス（ＬＳＰ）（２１１）、及び異なるネットワークを横切って動作するＩＰ−Ｓｅｃ（２１２）。これらは例えば目的だけを示している；多くの他に取り得る方法は熟練した技術から明白である。図２は、２つの制限しない例：２つのイーサネット／ＩＰネットワーク［２０５、２１５］とＩＰエッジを送り込む１つのＭＰＬＳ（２１１）を示す。
【００２４】
これは、ＵＤＰ／ＩＰ上に乗る軽量のＷｉＦｉ  ＶＰＮプロトコルの中で８０２．１１データパケットをカプセル化することにより、１つの実施例において遂行される。実施例において、セキュリティは、ＷＰＡや８０２．１１ｉ等の８０２．１１−ベーススタンダード−ベースセキュリティプロトコルによって提供される。ＷｉＦｉ  ＶＰＮプロトコルへのレイヤー２パケットのカプセル化は、ＰＣ、ＰＤＡ、又はＶｏＷＬＡＮ電話内に軽量のアクセスポイント、又はバーチャルインタフェースクライアントソフトウェアのどちらかによって実行される。ＷｉＦｉ  ＶＰＮトラフィックは、その時、トラフィックが非暗号化され、企業有線ネットワークに掛け渡されることを可能にするワイヤレスＬＡＮスイッチの有線インタフェースに安全に送信されることができる。実施例において、ＵＤＰ／ＩＰ上で動作する軽量なプロトコルは、軽量のアクセスポイントとＷＶＬＡＮスイッチとの何れか又はワイヤレスクライアントと、ＷＶＬＡＮスイッチとの間で通信するリモートネットワークプロトコル（ＲＮＰ）である。
【００２５】
ＡＰマネジメント、ステーションマネジメント、データトンネリング、キャプティブポータル、及びデータ送出端点の分離（セパレーション）
この発明は、ＡＰマネジメント（ＲＣ）、ステーションマネジメント（ＳＭ）、データトンネリング（ＤＴ）、キャプティブＷｅｂポータル、及びデータ送出制御端点を分離するための方法を提供する。本発明の一実施例において、ＤＦ端点は、ワイヤレスコントローラによって共通の配置とされる必要のない他のＡＰ又はスイッチ、又は他のデバイス上で終了し得る。
【００２６】
本発明の実施例において、マネジメント及びＲＮＰプロトコル経由のデータトラフィックのトンネリングは、以下のサブトンネルの１つ以上を使用し得る：
・  ＲＮＰ−ＲＣ−無線制御
・  ＲＮＰ−ＳＭ−ステーションマネジメント
・  ＲＮＰ−ＤＴ−データトンネリング
・  ＲＮＰ−ＷＰ−キャプチャーポータル、及び
・  ＲＮＰ−ＤＦ−データ送出コントロール
【００２７】
本発明の実施例において、ＲＮＰプロトコルは、サブトンネルの他のタイプのさらなる追加について拡張可能である。
【００２８】
図３は、低レイヤヘッダ（ＭＰＬＳ、及び／又はイーサネットヘッダ（３０１））上で、ＵＤＰヘッダ（３０３）に続き、次のＩＰヘッダ（３０２）に続くＲＮＰプロトコルヘッダ（３０４）のパケットカプセル化を示す。ＲＰＮプロトコルヘッダは、ＲＮＰコモンヘッダ（３０４）、ＲＮＰサブプロトコルヘッダ（３０５）、及びＲＮＰサブプロトコル特定データ（３０５）の３つの部分を有する。ＲＮＰヘッダは、タイプフィールドでサブプロトコルを指定する。
【００２９】
図３は、また、そのサブプロトコルと関連づけられたサブプロトコルヘッダとデータによって、どのように共通のヘッダがプロトコルを別個のサブプロトコルストリームに分割するかを示す：
・  ＲＮＰ−ＲＣ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＲＣサブプロトコルヘッダ（３１１）、及びＲＮＰ−ＲＣサブプロトコルデータ（３１２）、
・  ＲＮＰ−ＳＭ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＳＭサブプロトコルヘッダ（３１３）、ＲＮＰ−ＳＭサブプロトコルデータ（３１４）、
・  ＲＮＰ−ＤＴ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＤＴサブプロトコルヘッダ（３１５）、ＲＮＰ−ＤＴサブプロトコルデータ（３１６）
・  ＲＮＰ−ＷＰ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＷＰサブプロトコルヘッダ（３１７）、ＲＮＰ−ＷＰサブプロトコルデータ（３１８）
・  ＲＮＰ−ＤＦ：ＲＮＰコモンヘッダ（３１０）、ＲＮＰ−ＤＦサブプロトコルヘッダ（３１９）、ＲＮＰ−ＤＦサブプロトコルデータ（３２０）
【００３０】
図４は、ＩＰ−ｉｎ−ＩＰトンネル又はＧＲＥトンネル上で動作するＲＮＰプロトコルとともに本発明の実施例を示す。ＲＮＰプロトコルヘッダ（４０４、４０５、４０６）は、ＩＰ  ｉｎ  ＩＰ（４０２及び４０３）のためのトンネルヘッダに付随する。図４は、またＲＮＰヘッダ（４１２、４１３、４１４）の前のＧＲＥトンネルヘッダ（４１１）とともに本発明の実施例を示す。図５は、バーチャルトンネルとしてのＭＰＬＳラベルスイッチパス上で操作するＲＮＰプロプロトコル、及びキューを転送することに基づいて区別されたサービスロジカルトンネル上で動作するＲＮＰプロトコルの実施例を示す。
【００３１】
図７は、ＲＮＰプロトコルのコモンヘッダバージョン１．０のＲＮＰプロトコルの実施例を示す。図７は、実際のヘッダフィールドを示すために図３からフィールド３０４を拡張する：バージョン（７０１）、セキュリティバージョン（７０２）、フラグ（７０３）、タイプ（７０４）、長さ（７０５）、及びシーケンス（７０６）を示す。タイプフィールドは、サブプロトコルタイプ（ＲＮＰ−ＲＣ、ＲＮＰ−ＳＭ、ＲＮＰ−ＤＴ、ＫＮＰ−ＷＰ、ＲＮＰ−ＤＦ）を含んでいる。
【００３２】
図８は、どのようにこれらのＲＮＰサブプロトコルストリームが異なるトンネル上で軽量のアクセスポイント（ＬＷＡＰ）の操作を分割することができるかを実演する。図８中で、ワイヤレスステーション８０１は、ワイヤレスネットワーク（８０２）上でＬＷＡＰ８０３と通信する。トンネル上でＲＮＰプロトコルを使って、ＬＷＡＰ８０３は以下の１つ以上を送る：
・  ＲＮＰ−ＲＣメッセージを使っているＷＬＡＮコントローラ１（８０５）に送信する無線制御情報，
・  ＲＮＰ−ＳＭを使っているＷＬＡＮコントローラ２（８０６）へのステーションマネジメント情報，
・  ＲＮＰ−ＤＴとＲＮＰ−ＤＦメッセージを使っているＷＬＡＮコントローラ３（８０８）を送信されるデータ，
・  ＲＮＰ−ＷＰメッセージ経由でＷＬＡＮコントローラ（８０８）に送信されるキャプティブＷｅｂポータル情報。
【００３３】
図８は、また、ＬＷＡＰデバイス（８１９）からレイヤー２／レイヤー３ネットワーク（８１５）を横切る全てのＲＮＰメッセージ（８１６）を運ぶWLANコントローラ３（８０９）までのトンネルを示す。
【００３４】
クライアント（ＷｉＦｉ  ＶＰＮクライアント）のバーチャルインタフェースへのトンネリングプロトコルの拡張。
本発明の実施例は、クライアントでバーチャルインタフェースを構築するために、トントンネリングプロトコルを拡張し、そのクライアントにトンネリングプロトコルを拡張する。バーチャルインタフェースコンセプトは、有線(イーサネット)ネットワークインタフェースだけでなく、ワイヤレスによってクライアントに適用する。
【００３５】
いくつかのそのような実施例は、レイヤー３ネットワークを横切る８０２．１１技術を使うＷｉＦｉ  ＶＰＮを作成する。例を制限しないこととして、ステーションは、ＰＣ、ＰＤＡ、又はＶｏＩＰ電話とし得る。他の適当な例示は、該技術において熟練したそれらから明白であろう。ＷｉＦｉ  ＶＰＮクライアントは、ＷＰＡ、８０２．１１ｉ、又は別の適当な暗号化プロトコルを使うことによって暗号化し、それから、リモートネットワークプロトコル（ＲＮＰ）中でカプセル化する。
【００３６】
図９は、どのようにバーチャルクライアントが、ワイヤレスネットワーク（９０２）上のＰＣ（９０１）上で動作し、ＲＮＰプロトコルをサポートしないサードパートアクセスポイント（９０３）を横切って通信することができるかを示す。ＲＮＰプロトコルは、ＰＣ（９０１）上のバーチャルクライアント上で作成され、２つの異なるコントローラ、ＷＶＬＡＮコントローラ１（９０４）及びＷＶＬＡＮコントローラ２（９０５）にＲＮＰサブプロトコルストリームを発送する。
【００３７】
図９は、また、どのようにＰＤＡがバーチャルソフトウェアを実行することができるかを示す。図９において、トンネルは、この発明のＬＷＡＰポイントにワイヤレスネットワーク（９２１）を横切って存在している。バーチャルクライアントは、ＲＮＰサブプロトコルストリーム（９３１）をＷＶＬＡＮコントローラ３（９３５）に渡す。バーチャルクライアントの接続がワイヤレスネットワーク（９４３）を横切ってＬＷＡＰポイント（９４１）と接続し、ＲＮＰサブプロトコルメッセージ（９５１）をＷＶＬＡＮコントローラ２（９３４）に渡しているトンネル（９５２）に繋がるＰＣ（９４２）上でのバーチャルクライアントの接続を示す図３に、これらのバーチャルクライアントの使用のための第３オプションが説明されている。
【００３８】
図１０は、このデータをカプセル化して取り入れられるステップを示し：
・  ステップ１  −  アプリケーションデータは、企業（１００１）内の有線ホストに送られる。
・  ステップ２  −  アプリケーションは、ＩＰｖ４スタック（１００４）を介してＲＲＰ１００７へ、又は、ＩＰｖ６スタック（１００５）を介してＲＲＰ１００７へ、それをＲＮＰバーチャルクライアントに決定する。
・  ステップ３
○  ａ）クライアントは、パケットを暗号化する。例を制限しないこととして、暗号化は、８０２．１１ｉ、ＷＰＡ、ＷＰＡ２、ＲＣ４、又は他の暗号化アルゴリズムを使って、実行され得る。
○  ｂ）クライアントは、ＵＤＰ／ＩＰｖ４トンネル、又はＵＤＰ／ＩＰｖ６トンネル上で、コントローラにＲＮＰプロトコル（ＲＮＰ−ＤＴ、ＲＮＰ−ＤＦ、ＲＮＰ−ＷＰ、ＲＮＰ−ＳＭ）を介してコントローラに送信する。
・  ステップ４  −  リモートＷＶＬＡＮコントローラ４は、他のパケットとしてＲＮＰパケットを処理する。
【００３９】
セキュアデータへのＩＰ−Ｓｅｃトンネルの代わりのレイヤー２暗号化の利用
この発明の実施例は、ワイヤレスデータを守るためにＩＰレイヤーセキュアトンネル（ＩＰ−Ｓｅｃ等）の代わりに８０２．１１ｉなど、レイヤー２暗号化プロトコルを使用する。図１１は、８０２．１１ｉ、ＷＰＡ、ＷＰＡ  ＲＣ−４などの制限しない例の方法等により、異なるレイヤー２暗号化によって暗号化された異なるアクセスポイント内のネットワークの一例を説明する。実施例は、これらのアクセスポイント（１１０３、１１０８、１１１０、１１２１）のそれぞれが次をすることを可能にする：
○  暗号化によってワイヤレスステーショントラフィックを暗号化する。
○  ＲＮＰプロトコル（１１１３、１１１４）を介してトラフィックをリモートＷＶＬＡＮコントローラに渡し、そして、
○  ＷＶＬＡＮコントローラ（１１０５）上のトラフィックを暗号解読する。
【００４０】
そのような実施例は、ＩＰレイヤーセキュアプロトコル（ＩＰ−Ｓｅｃ等）を使用することなく、軽量のアクセスポイントとレイヤー２/レイヤースイッチとの間でユーザーデータを保護する。
【００４１】
図１１が示しているように、この暗号化されたデータは、ＲＮＰプロトコル中で暗号化されなかったデータ（ＡＰ１１０８）と平行的に動作できる。
【００４２】
この発明の実施例は、ワイヤレスＬＡＮスイッチ上でデータの暗号化を終了させる。この発明の他の実施例は、スイッチ／ルータ上でデータの暗号化を終了させる。またこの発明の別の実施例は、別のアクセスポイント上で暗号化を終了させる。
【００４３】
コントローラを探し出すために、アクセスポイントによって使用されるディスカバリー／インプリンティング
この発明の実施例は、’’インプリンティング’’として知られているメカニズムを実施することにより、ワイヤレスコントローラ／スイッチからの情報によって’’インプリントされる’’ために、ＮｅｘｔＨｏｐ  ＷｉＦｉ  ＡＰ用の方法を持っている。本発明の実施例において、’’インプリンティング’’は、以下のステップの1つ以上を含む：
１．  ＷｉＦｉ  ＡＰとワイヤレスコントローラ／スイッチは、ブロードキャストＲＮＰ−ＲＣ（無線制御）メッセージを使っているレイヤー２ネットワーク上で互いを発見する。ＲＣネームリクエストメッセージは、この目的のために使われる。
２．  アドミニストレータによるオプション認証、又はＡＰがワイヤレスコントローラによってコントロールされることを可能にするポリシー
３．  ＡＰは、その持続的なメモリ、例えばフラッシュメモリ中のコントローラ(例えばＤＮＳ名、ＩＰアドレス)のために発見されたアドレス指定情報を記憶している
４．  コントローラによって将来のセッションを設立するために、持続的な情報の使用は、ＡＰにおいて記憶される。将来のセッションは、新しいロケーションにＡＰを移動した後に設立され得る。新しいロケーションは、ＡＰとコントローラとの間にレイヤー３／ＩＰネットワークを持ち得る。
５．  プライマリーコントローラが利用できない時に使用されるための、補助的なコントローラアドレス情報を持つプライマリ−コントローラアドレス情報のオプションの増加。補助的な情報は、ＲＮＰ−ＲＣプロトコルを介して伝達され、ＡＰ持続メモリに保存される。
【００４４】
ＡＰがレイヤー２(イーサネット)ブロードキャストを介してそのコントローラと通信することができなければ、コントローラのＤＮＳ名又はＩＰアドレスは、ローカルインタフェース(例えばシリアルインタフェース)を介してＡＰ上で供給される。
【００４５】
この方法の一実施例は、ＲＮＰメッセージと並べられて図１２に示される。ステップ１−５は、この図においてそれぞれアイテム（１２００、１２０３、１２０４、１２０５、１２０６）としてリスト化される。この方法のこの実施例のために、図１３は、ＲＮＰ−ＲＣメッセージを送ることにおけるアクセスポイント用のステイトマシンを提供する。このステイトマシンにおいて、３つの状態：発見する（１３０１）、接続する（１３０２）、接続される（１３０３）がある。
【００４６】
図１４は、インプリンティング用のＲＮＰ−ＲＣメッセージのための事例メッセージフォーマットを説明する。ＲＮＰ−ＲＣメッセージは、ＲＮＰコモンヘッダ（３０４）を有し、ＲＣ特定ヘッダ（１４００）が続き、ＲＮＰ−ＲＣタイプ特定のフォーマットが続いている。ＲＮＰ−ＲＣヘッダは、次のためにフィールドを持っている：メジャーバージョン（１４０１）、マイナーバージョン（１４０２）、プリミティブ（１４０３）、トランザクションＩＤ（ＴＩＤ）（１４０４）、長さ（１４０５）。ＲＮＰ−ＲＣメッセージは、インプリンティングのための以下を含む：
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＮＡＭＥ＿ＲＥＱＵＥＳＴ＿ＭＥＳＳＡＧＥ（本文１４０６−１４０７)
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＣＯＮＮＥＣＴ（本文説明は、１４０８−１４１０である）
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＡＣＣＥＰＴ（本文説明１４１１−１４１２）
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＭＩＧＲＡＴＥ（本文説明１４１３）
○  ＲＮＰ−ＲＣ＿ＭＳＧ＿ＤＩＳＣＯＮＮＥＣＴ（本文説明１４１４）
【００４７】
図１５は、インプリンティングをサポートしているＷＬＡＮコントローラのためのステイトマシン中のこの方法の一実施例を示す。このステイトマシンは、５つの状態：不明（１５０１）、発見される（１５０２）、接続する（１５０３）、マイン（１５０４）、接続される（１５０５）を有する。本発明の実施例の中で、これらの状態の間の状態遷移は、以下のイベントによって実行される：
○  ユーザーインタフェース変更：ＧＵＩ作成（１５２０）、ＧＵＩ削除（１５２１）、ＧＵＩ割当て（１５２２）、ＧＵＩ非割当て（１５２３）、
○  タイマ終了：タイマ（１５２４）を発見し、タイマ（１５２５）を接続する、そして、
○  ＲＮＰ−ＲＣメッセージの受け取り：ＲＮＰ−ＲＣ＿ＭＳＧ＿ＮＡＭＥ＿ＲＥＱＵＥＳＴ（１５１０）、ＲＮＰ−ＲＣ＿ＭＳＧＣＡＰＡＢＩＬＩＴＩＥＳ（１５１１）。
各イベントは、それと関連づけられた行動を有し得る、又は有し得ない。
【００４８】
異なる暗号化キーを使っている空中のバーチャルＬＡＮ（ＶＬＡＮ）のバーチャルＬＡＮ（ＶＬＡＮ）割り当てとセパレーション
８０２．１１スタンダードは、空中でＶＬＡＮを８０２．１１データトラフィックに割り当てるためにメカニズムを定義しない。一般に、拡張されたサービスセットＥＳＳは、シングルＶＬＡＮに地図が作られる。ＥＳＳ、それからＶＬＡＮは一般に８０２．１１データトラフィックのために機密保持のシングルタイプを実施する。
【００４９】
本発明の実施例は、複数のＶＬＡＮが公示されることを可能にし、それらのトラフィックが空中で分離される。実施例において、これは、複数のセキュリティタイプが各ＥＳＳと関連づけられることを可能にすることによって遂行され、それぞれはＶＬＡＮが割り当てられる。実施例において、どのＶＬＡＮもＥＳＳセキュリティタイプと関連づけられないならば、割り当てられたＶＬＡＮは、ＡＰ上のイーサーネットインタフェースのために設定されたデフォルトＶＬＡＮによって決定される。さらに、ポリシーベースＶＬＡＮ（ＲＦＣ  ３５８０）は、１人のユーザーあたり(クライアントステーション)ベースでＡＡＡサーバー又はディレクトリサーバによって割り当てられ得る。ＥＳＳに選ばれたセキュリティタイプ上の１つの制限は、それらのすべて又はどれかが空中暗号化の上で提供しなければならないことである。
【００５０】
本発明の実施例は、セキュリティモデルのみならず、そのようなセキュリティモデルを使っているトラフィックを暗号化する方法も含む。
【００５１】
実施例において、セキュリティキーは、タプルによって示されたバーチャルインタフェースのそれぞれと関連づけられ、ＥＳＳを公示している（潜在的なバーチャル）ＡＰのワイヤレスＭＡＣアドレスを示す’’ＢＳＳＩＤ’’での＜ＶＬＡＮ，ＢＳＳＩＤ，セキュリティタイプ＞を示すタプルを含み、’’ＶＬＡＮ’’は、サポートされたＶＬＡＮ（デフォルトとしてのセキュリティタイプへの割り当て、ポリシー又はネットワークトポロジによって決定したことを経て）を示し、「セキュリティタイプ」は、ワイヤレスネットワークによってサポートされたセキュリティタイプの１つである。サポートされ得るセキュリティタイプは以下を含む：
・  暗号化のない８０２．１１オープン認証
・  静的なＷＥＰキーによる８０２．１１オープン認証、動的なＷＥＰ暗号化、ＷＰＡ（ＴＫＩＰ）、ＷＰＡ２、及び８０２．１１ｉ（ＡＥＳ）による８０２．１Ｘ
・  静的なＷＥＰキーとの８０２．１１シェア認証
【００５２】
図１６は、タプル＜ＶＬＡＮ、ＢＢＳＩＤ、セキュリティタイプ＞のそのセキュリティキーによるセキュリティモデル、及び、以下のセキュリティタイプ：非暗号化による８０２．１１オープン認証（１６１０）、オープン認証（１６１１）、８０２．１１シェア認証（１６１２）を例示する。
【００５３】
実施例において、空中の全てのブロードキャストトラフィックは、バーチャルインタフェースのためにセキュリティキーによって暗号化される。空中の全てのユニキャストトラフィックは、ＡＰとクライアントとの間でセキュリティタイプのためにネゴシエイトされたペアワイズキーによって保護される。このメカニズムは、シングル(潜在的なバーチャル)ＡＰ(唯一のＢＳＳＩＤによる)を介し、団体のために空中で複数のＶＬＡＮをサポートし、空中でＶＬＡＮセマンティックスを保護している要求されたＶＬＡＮデータトラフィックセパレーションを達成する。
【００５４】
図１７は、ワイヤレスステーション（１７０１）とＡＰ（１７０３）との間で、ブロードキャスト、マルチキャスト、およびユニキャストトラフィックの暗号化を説明する。トラフィックは、ワイヤレスネットワーク（１７０２）を横切ってワイヤレスステーションからワイヤレスコントローラ（１７０５）へのＡＰ（１７０３）に流れる。ユニキャストトラフィック（１７１１）は、ＡＰとクライアントとの間でネゴシエイトされたペアワイズキー（１７１０）によって暗号化され、ユニキャストパケット（１７１３、１７１４、１７１５）でＡＰに送信される。ブロードキャストデータトラフィック（１７２１）は、バーチャルインタフェース（１７２０）のためのブロードキャストキーによって暗号化され、ワイヤレスネットワーク（１７０２）を横切ってパケット（１７１６）として送られる。マルチキャストデータ（１７２３）は、１つのグループキー（１７２２）当りで暗号化されて、ワイヤレスネットワーク（１７０２）を横切って送られる。パケットの解読は、ＡＰ（１７０３）又はワイヤレスコントローラ（１７０５）に存在している。パケットの非暗号化(解読)は、パケットレイヤー２アドレス情報から決定されるように、パケットのタイプに基づく。非暗号化（１７０６）は、データのタイプ毎に適切なキー： ユニキャストペアワイズキー（１７１０）、ブロードキャストキー（１７２０）、およびマルチキャスト（１７２２）を使う。
【００５５】
企業がＷＬＡＮコントローラの上で終了し、ローカルトラフィックがＡＰで終了する時のＷｉＦｉクライアント内でのルーティングインテリジェンス
ＷｉＦｉ  ＶＰＮクライアントにおけるＲＮＰの実施例は、まれに頭文字「ＲＲＰ」によって参照される。ＲＲＰは、ＷｉＦｉ  ＶＰＮバーチャルクライアント中のＲＮＰの使用と同義である。
【００５６】
実施例において、ＲＲＰクライアントは、８０２．１１／８０２．１１ｉに基づくセキュリティが、ＩＰＳｅｃ又はＰＰＴＰ等の追加のインフラストラクチャーを使用することなく、ワイドエリアＶＰＮを提供することに適用されることを可能にする。ＲＲＰクライアントがレイヤー３ネットワーク上でワイヤレスＬＡＮコントローラ／スイッチに離れて接続している時。そのようなトポロジの１つのアプリケーションは、ブランチオフィスワイヤレスネットワークのためである。
【００５７】
ブランチオフィスシナリオ中、両方のトラフィックは、ローカルネットワーク(例えばローカルプリンタ)と、同じ８０２．１１（８０２．１１ｉ）の基づく認証メカニズム、及び企業のオフィスによってコントロールされたポリシーをシェアするリモート企業オフィスとに定められる。データトラフィックを分離し、適切に保護するために、ＲＲＰクライアントは、次の通り作業するルーティング機能を提供する：
１．  １つ以上のローカル暗号化キー(ＬＥＫ)と１つ以上のリモート暗号化キー(ＲＥＫ)が認証プロセスから引き出される。制限なしで、複数のＬＥＫ及びＲＥＫは、ローカル又はリモートディスティネーション、及びトラフィックタイプ(ユニキャスト、ブロードキャスト、及びマルチキャスト)のコンビネーションのために、それぞれ引き出され得る。
○  実施例において、ユニキャストＬＥＫ又はＲＥＫ誘導は、ＰＴＫ(ペアワイズキー)を引き出した８０２．１１ｉ上で一方向のハッシュ関数の使用に関係している。
○  実施例において、ブロードキャストＬＥＫ、又はＲＥＬ誘導は、ランダムキーを暗号化するユニキャストＬＥＫ又はＲＥＫの使用と、クライアントへのそのキーを通過することとに関係している。
○  実施例において、マルチキャストＬＥＫ又はＲＥＫ誘導は、ランダムキーを暗号化する１つのグループあたりのマルチキャストＬＥＫ又はＲＥＫの使用と、それをクライアントに渡すこととに関係している。マルチキャストＲＥＫは、グループに定められたマルチキャストトラフィックを暗号化するために使われる。
２．  トラフィックは、２つの部分に分離される： ローカルネットワークに送信されるトラフィックとリモートネットワークに定められるトラフィック。
３．  ローカル暗号化キー（ＬＥＫ）を使用するローカルネットワーク(サブネット、ｖｌａｎ等)に定められた全てのトラフィックは、ローカルなＡＰ（アクセスポイント）に使用可能である。
４．  リモートネットワーク(サブネット、ｖｌａｎなど)に定められる全てのトラフィックは、リモート暗号化キー（ＲＥＫ）がローカルＡＰに使用可能でないが、リモートディスティネーションでＷＶＬＡＮスイッチ又はコントローラに使用可能である。
【００５８】
図１８は、異なるキー（ＬＥＫ、ＲＥＫ）を持つローカルトラフィックとリモートトラフィックとを暗号化するための本発明の一実施例を示す。ワイヤレスステーション（１８０１）上で動作しているバーチャルクライアントは、ローカル暗号化キー（１８１０）によってローカル設定（デスティン）データ（１８１１）を暗号化し、データを’’ローカルに’’転送されたデータ（１８１３及び１８１４）によって旗が掲げられたパケットの中に送信する。データを暗号解読するために、ローカルバーチャルクライアント（１８０６）はローカルキー（１８１０）によって非暗号化を通じてパケット（１８１３及び１８１４）を配置する。ＷＶＬＡＮコントローラ２（１８０８）上のリモートクライアントは、１つのワイヤレスネットワーク（１８０２）といくつかの有線ネットワーク（１８０４、１８０７）とを横切るパケット（１８２２、１８２３）を受け取る。アンエンクライプター（１８０９）とＲＥＫ（１８２０）を使って、データは、オリジナルデータ（１８２１）を復元するために暗号化されない。
【００５９】
このメカニズムは、追加のオーバーヘッド又はＶＰＮなしで暗号化されることをリモートネットワークに定められたトラフィックが、ＡＰ上で実施されることを可能にする。ＡＰは、８０２．１１フレームフィールド(例えばフレームコントロール、フレーム中のアドレス４等の特別確保されたｍａｃアドレス)でスペシャルビットを使って、リモートネットワークからローカルネットワークに定められたトラフィックの間で明確にし得る。
【００６０】
図１８は、また、８０２．１１フレームのスペシャルポーション上で打鍵し、ＬＥＫを使用するローカルトラフィック及びＲＥＫを使用するリモートトラフィックを暗号化する’’ルーティングインテリジェンス’’を活用するこのブランチオフィスシナリオトポロジを示す。
【００６１】
図１８ａは、データを暗号化するために、クライアントが使用するＬＥＫ／ＲＥＫを示す。図１８ｂは、どのようにクライアントユーザーＬＥＫ／ＲＥＫがデータを複合化するかを示す。図１８ｃは、どのようにローカルトラフィックが非暗号化されて通過し、リモートトラフィックが暗号化されて通過し得るかを示し、図１８ｄは、リモート暗号化トラフィックがローカルトラフィックから分離（ｄｅｍｕｘｅｄ：デマックス）されるかを示す。図１８ｄ中のローカルトラフィックは、それを転送することに先がけてまた暗号化される。図１９は、ユニキャストトラフィックのための特殊なフレーム制御フィールドと特殊なＭＡＣアドレスを示す。
【００６２】
例えば、現在未使用の８０２．１１フレームコントロールフィールド値は、フレームが、ＲＥＫを使用して暗号化されて、それがディスティネーションで暗号解読されるであろうということを示すために使用され得る。ローカルＡＰは、単に有線ネットワークにこのフレームを掛け渡すであろう。サービスアタックの潜在的な拒否を回避するために、ＬＥＫを使っているオプションの特殊なメッセージの完全性チェックサムは使用され、又は、ブリッジングのこのタイプは、既知のディスティネーションへのＲＫＰプロトコルＰＤＵに制限される。
【００６３】
ワイヤレスメッシュネットワーク中のＷｉＦｉ  ＶＰＮ
この発明は、それが、（１）有線ネットワーク、又はワイヤレスＬＡＮスイッチ、又は、アクセスコントローラ、或いは（２）クライアントトラフィックを暗号解読するために、セキュリティステイトを有するネットワーク内の他のデバイスが入るポイントまで、ワイヤレス（８０２．１１）ネットワークインフラストラクチャー上でＲＮＰを介して８０２．１１フレームのブリッジングをサポートする方法を含む。このアプローチは、メッシュベースのワイヤレスネットワークに適用される時、現在のワイヤレススタンダードを慣例によって指定されるホップ毎の暗号化を避ける。
【００６４】
この発明の実施例において、ワイヤレスクライアントステーションからの８０２．１１フレームが、メッシュ中の他のＡＰ上のＲＦインタフェースを介してインテグレーションサービスポータルに接続されてルートが決められるＡＰでＲＦ／ワイヤレスメッシュベースディストリビューションシステムに入る。該システムは、ＲＦメッシュに入るステーショントラフィックのＡＰで８０２．１１ｉ又は他の暗号化を終了しないが、８０２．１１ｉ又はステーショントラフィックが、有線ネットワークに入るポイントで行う。
【００６５】
図２１は、この発明の一実施例を示す。ワイヤレスクライアント（２１１０）からのパケットは、転送され、アクセスポイント１（２１０３）で暗号化され、ＲＮＰを介してワイヤレスコントローラ（２１０９）に伝送される。ＡＰ−１からワイヤレスコントローラまでの伝送路は、：
・  有線ネットワーク１を横切るＡＰ−１（２１０３）を介してＡＰ−２（２１０５）まで
・  ワイヤレスネットワーク（２１０６）を横切るＡＰ−２（２１０５）からＡＰ−３（２１０７）まで、そして、
・  有線ネットワーク（２１０８）を横切るＡＰ−３（２１０７）からワイヤレスコントローラ（２１０８）までである。
【００６６】
ペアワイズマスターキー（ＰＭＫ）シェアリングのための方法
ワイヤレスＬＡＮスイッチ、又はコントローラアーキテクチャは、カレントスタンダードに基づいたＰＭＫを得る８０２．１１ｉ認証コンポーネントを提供する。このＰＭＫは、クライアントと認証サーバーとの間のカレントクライアント団体のための認証にだけ知られている。しかし、スイッチが複数のＡＰのために認証コンポーネントを含んでいれば、ＰＭＫは、セキュリティ保証に違反せずにＡＰ（または８０２．１１ＢＳＳｅｓ）の間でシェアされ得る。この発明のコンテキストにおいて、クライアントが与えられるＰＭＫ、及び各認証によって使用される認証サーバーは、：
・  同一である
・  同じクライアントのための別のＰＭＫ及び認証サーバーから誘導される、又は
・  コンビネーションがＨＭＡＣ−ＳＨＡ１等の一方向の暗号のハッシュ関数を使う暗黙の、または公然と観察できる情報を使っている。
【００６７】
この方法は、ＥＳＳ内又は認証ドメイン内で別のＡＰに再び関連付けるか、ローミングする間にネットワークに余分な(再)認証を避けるために使用され得る。 ワイヤレスクライアント及びＡＰが上記メカニズムを使用するための１つの方法は、ここで説明されるようシェアリングし、速くローミングするＰＭＫが機能する将来性を公示することである。そのような公示は、８０２．１１ｉＲＳＮ  情報要素等のスタンダード８０２．１１情報要素の能力内の追加の８０２．１１情報要素又は追加のコンポーネント（ｂｉｔｓ）を使用できる。
【００６８】
上述したシェアリング等は、複数のＷＬＡＮスイッチ又はコントローラ間でローミングしているときに可能である。それは、ワイヤレスＬＡＮスイッチ又はコントローラとトラディショナルファットＡＰとの間、又は、ファットＡＰ間で、ＰＭＫをシェアすることが可能である。シェアロングの１つのメカニズムの中で、ＡＰのための認証は、ワイヤレスクライアントが最初にネットワークに認証している時に、そのＲＦ付近のＡＰのために、認証サーバーからローミング許可トークンを取得する。
【００６９】
認証は、ＲＡＤＩＵＳ（ラジアス）メッセージを使用している認証サーバーに関連付けているステーションのＲＦ付近のためにワイヤレスネットワーク中でＢＳＳＩＤを通過し得る。これらのメッセージは、クライアントからのＥＡＰメッセージを送るために使用されるものと同じものであるかもしれない。
【００７０】
企業方針（ポリシー）強制を容易にするために、認証は、団体のためのクライアントステーションによって要求されているＥＳＳ識別(例えばＳＳＩＤ)とセキュリティメカニズム（例えば８０２．１１ｉ）を認証サーバーに伝達するかもしれない。これをするための１つのメカニズムは、ＡＡＡサービスがラジアスサーバーによって提供されるケースの中でこの情報を持つ(潜在的に新しいか、ベンダ固有である)ラジアス属性を使うことである。
【００７１】
図２２は、ラジアスＡＡＡサービスを持つＰＭＫトークンのこのロジカルインタラクションの実施例を示す。図２３は、ラジアスＥＡＰパケットを使っているＰＭＫトークンのための正常なパケットの流れを示す。
【００７２】
要求の中でＥＳＳ、ＢＳＳ、及びセキュリティ情報を使って、認証サーバー（例えばラジアス)は適切な許可トークンを生成し、認証に戻し得る。ラジアスがＡＡＡに基づく場合に、トークンは、クライアント認証の成功を示すために使われたラジアスアクセプトメッセージに戻され得る。
【００７３】
シェアリングの別のメカニズムにおいて、アクセスポイント（ＡＰ）がパブリックキー、又はパブリックキー証明、或いは、パブリックインフラストラクチャーをシェアすれば、ＰＭＫ許可トークンは、ターゲットＡＰパブリックキーを使用するＰＭＫから誘導されるＰＭＫ又はマテリアルを暗号化することによって、パブリックキー暗号化を使用するＲＰ付近でＡＰのために生成される。
【００７４】
いくつかの実施例において、許可トークンは、パブリックネットワーク上又は空中で転送され、パブリックキーメカニズムを使用する時に、ＡＰと認証サーバーとの間でのシェアされた秘密を使用する、又は、アクセスポイント（ＡＰ）が自身のプライベートキー（秘密キー）を受け取るＰＭＫを獲得するために、一致したＡＰだけが暗号解読できる。ローミングにおける余分な再認証プロセスとその結果生じる待ち時間は、そのために避けられる。
【００７５】
ＰＭＫ又は許可トークンを伝送するためのこの発明の１つのメカニズムは、ＰＭＫを伝送するためにワイヤレスクライアントを使用している。トークンは、クライアントからの不必要(例えば、定義された８０２．１１のマネジメントフレーム又は８０２．１ｘフレームを使用すること)又はクライアントからの要求上で、クラアントに分配され得る。クライアントは、一部として、又は８０２．１１リアソシエイション手続きに先立って、これらのトークンをターゲットＡＰに伝送する。このメカニズムは、認証、ワイヤレスクライアント、及び認証サーバーの間でＰＭＫのセキュリティトラストバインディングを保存する。
【００７６】
ＰＭＫ又は許可トークンを転送するための別のメカニズムは、ＲＮＰ又はターゲットＡＰにアドレスした他のプロトコルフレームを使うことになっている。
【００７７】
また、許可トークンを転送するための別のメカニズムは、認証（例えば８０２．１１ｉ)のために使用されるスタンダードＥＡＰメカニズム中で安全にカプセル化され、又は暗号化されたこれらのトークンを提供することになっている。現実に関連付けられたワイヤレスクライアントのための許可トークンは、オプションで、クライアント、認証、及びＡＡＡサーバーの間でスリーウェイトラストバインディングを有効にしているこのメカニズムを使って通過され得る。
【００７８】
リモートネットワークプロトコル（ＲＮＰ）
この発明の実施例は、パケット交換、及びそのようなパケット交換をハンドリングするためのステイトマシンだけでなく、リモートネットワークプロトコル（ＲＮＰ）パケットでＰＵＤをエンコードするための方法を含む。
【００７９】
そのような実施例は、ＲＮＰプロトコル中で、’’タイプ’’フィールドを使用することによって、複数のサブプロトコルをサポートする。この方法は、サブプロトコルの数が多数のサブプロトコルに拡張可能であることを可能にする。
【００８０】
実施例は、また、サブストリームにサブデバイドを促進することを、サブプロトコルに許可する。この発明の実施例は、サブプロトコルを分割するために、サブプロトコルヘッダ中で’’プリミティブ’’フィールドを使用する。
【００８１】
シェアドＷＩＳＰインフラストラクチャー上の企業認証
従来技術において、ＷｉＦｉ  ＶＰＮがホットスポットで展開される時、企業と接続しているワイヤレスクライアントは、２回認証されている−ホットスポットプロバイダーによって一度、企業の認証サーバーによって一度。発明の実施例は、セパレート認証ではなく、企業認証がホットスポットプロバイダーによって使用されることを可能にする。企業アクセスのコントロールをメンテナンスする間、これは、制限しない例の方法、ビジネスモデルに基づく貸出料金により、企業が、使用しているＷＩＳＰインフラストラクチャーをシェアすることを可能にする。いくつかのそのような実施例は、また、与えられたクライアントアクセスのために１つの認証を利用する。そのような実施例は、また、同じＷＩＳＰ  ＡＰと結合している２つの異なったクライアントが異なった企業で認証されることを可能にする。
【００８２】
この発明の実施例において、ＷｉＦｉ  ＶＰＮが軽量なアクセスポイントによってホットスポットで展開される時、クライアントからワイヤレスＬＡＮコントローラ／スイッチにバインディングするレイト／レイジーは、クライアントによって送られたＥＡＰＯＬスタートメッセージを横取りし、ＥＡＰＯＬリクエスト識別メッセージをリターンしているＷＩＳＰ  ＡＰによって作成することができる。ＷＩＳＰ  ＡＰは、ＥＡＰＯＬスタートメッセージを待たずに、不必要にまたＥＡＰＯＬリクエスト識別メッセージをクライアントに送信し得る。
【００８３】
ワイヤレスクライアントは、クライアントのドメインネームとともに平文フィールドを含むＥＡＰＯＬレスポンス識別メッセージを備えたリクエスト識別メッセージに応答し得る。例を制限しないこととして、このドメインネームは、（１）ＤＮＳ名、（２）クライアントの企業名であり、ＩＰアドレスまたはクライアントが接続するワイヤレスＬＡＮコントローラ／スイッチのＤＮＳアドレスを得るために、ＤＮＳサーバーまたは（３）ディレクトリ（例えばＬＤＡＰ)サーバーに対して探されることができる。
【００８４】
イニシャルエクスチェンジに続いて、さらに、ＥＡＰＯＬメッセージは、ＷｉＦｉ  ＶＰＮ（ＲＮＰ）カプセル化プロトコルを使って、ＷＬＡＮコントローラ／スイッチにトンネルが掘られる。認証は、企業内でＥＡＰプロトコルを終了させる企業認証サーバーによってされる。ＷＩＳＰ  ＡＰは、ワイヤレスクライアントがＲＮＰプロトコルを介して首尾よく認証されているならば、データトラフィックフローのみを許容することが指示される。
【００８５】
図４６は、この発明に適用可能なネットワークトポロジを示す。図４７は、認証プロセスのためのパケットフローを説明する。
【００８６】
オプションで、ＷＩＳＰ  ＡＰは、すべてのクライアントデータトラフィックをそれらの各企業ＷＬＡＮスイッチ／コントローラに伝送し得る。
【００８７】
リモートネットワークプロトコル（ＲＮＰ）
本発明の実施例において、ＲＮＰプロトコルはＵＤＰ／ＩＰプロトコル上で動作し、複数のサブプロトコルをサポートする。図３を示された一実施例において、５つのサブプロトコルがある：
・  ＲＮＰ−無線制御（ＲＮＰ−ＲＣ）  −  図３中のアイテム３１１と３１２
・  ＲＮＰ−ステーションマネジメント（ＲＮＰ−ＳＭ）  −  図３中のアイテム３１３と３１４
・  ＲＮＰ−データトランスファー（ＲＮＰ−ＤＴ）  −  図３中のアイテム３１５と３１６
・  ＲＮＰ−Ｗｅｂポータル（ＲＮＰ−ＷＰ））  −  図３中のアイテム３１７と３１８、及び
・  ＲＮＰデータ送出（ＲＮＰ−ＤＦ）  −  図３中のアイテム３１９と３２０。
【００８８】
ＲＮＰプロトコルは、タイプフィールド(図７アイテム７０４)を指定するＲＮＰヘッダ方法を介し、任意の数のサブプロトコルに拡張可能である。図３が示すように、ＲＮＰコモンヘッダ(図３アイテム３０４)に続いている情報は、ＲＮＰサブプロトコル特定ヘッダ（図３アイテム３０５)で、ＲＮＰサブプロトコルスペシャルデータによって後続されている。
【００８９】
ＲＮＰ−ＲＣサブプロトコルのためのサブプロトコルヘッダは、図２４に例示するように以下の情報を含んでいる：
・  ＲＮＰ−ＲＣ−バージョン（２バイト）  −  ＲＮＰ−ＲＣサブプロトコルのバージョン（アイテム２４０２）
・  プリミティブタイプ  −  アクションプリミティブのタイプは、ＲＮＰ−ＲＣファンクション（アイテム２４０３）を操作するために使用される
・  トランザクション識別子  −  トランザクションがワイヤレスコントローラによって開始されれば、このフィールドはＩＤを含む。アクセスポイントからのレスポンスは、レスポンス（アイテム２４０４)による要求を整合するためにこの識別子を含むであろう。
・  コンテントレングス  −  メッセージコンテント（アイテム２４０５）の長さ
・  コンテント  −  ＲＮＰ−ＲＣサブプロトコル特定データ（アイテム２４０６）
【００９０】
ＲＮＰ−ＲＣプロトコル方法は、下記のテーブルのようにプリミティブを定義する。(下記テーブルにおいて、アクセスポイントはＡＰとして略されて、ワイヤレスコントローラサービスポイントはＳＰとして略される。
【００９１】
ＲＮＰ−ＲＣプリミティブ
【００９２】
2007532043.tif 000057
【００９３】
このＲＮＰ−ＲＣサブプロトコルのキー利点は、オプション(管理された無電局オプション)名と要求の発見、コンフィギュレーション、及びマネジメントである。
【００９４】
図２４は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＡＰＡＢＩＬＩＴＩＥＳパケット（２４１０）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＡＣＣＥＰＴパケット（２４２０）の一実施例を示す。図２５は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＯＮＦＩＧＵＲＥパケット（２５００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＯＮＦ＿ＲＥＳＰパケット（２５１０）を示す。図２６は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＯ＿ＳＥＴパケット（２６００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＳＥＴ＿ＲＥＳＰパケット（２６１０）を示す。図２７は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＯ＿ＧＥＴパケット（２７００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＯ＿ＧＥＴ＿ＲＥＳＰ（２７１０）を示す。図２８は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＴＲＡＰパケット（２８００）、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＭＥＡＳＵＲＥＭＥＮＴパケット（２８１０）、及びＲＮＰ＿ＲＣ＿ＭＳＧ＿ＮＡＭＥ＿ＲＥＱＵＥＳＴパケット（２８２０）を示す。図２９は、ＲＮＰ＿ＲＣ＿ＭＳＧ＿ＣＯＮＮＥＣＴパケット（２９００）及びＲＮＰ＿ＲＣ＿ＭＳＧ＿Ｌｏｇパケット（２９１０）を示す。
【００９５】
図３０は、ＲＮＰ−ＲＣサブプロトコルとのサンプルプロトコル交換を示す。
【００９６】
ＲＮＰ−ＳＭプリミティブ
【００９７】
2007532043.tif 000058
【００９８】
図３１乃至３５は、ＲＮＰ−ＳＭサブプロトコルサブストリームパケットのためのパケットフォーマットを示す。
【００９９】
ＲＮＰ＿ＤＴサブプロトコル
ＤＮＰ−ＤＴメッセージの現実の実施例は、ＲＮＰ−ＤＴサブプロトコルをサブストリームに分割して、サポートしない。
【０１００】
ＲＮＰ＿ＤＦサブプロトコル
ＤＦサーバーは、有線ネットワークにトンネルを接続したポイントである。ＤＦクライアントは、トンネルにワイヤレスアクセスポイント（ＡＰ）をインタフェースするポイントである。ＤＦクライアントの実施例は、ＡＰとすることができる。ＤＦサーバーの実施例は、ＡＰ又はスタンドアロンの設備とすることができる。これらのサブプロトコルプリミティブのそれぞれは、リクエスト／レスポンスのためにフィールドを持っている。接続の一端（ＤＦ−サーバー又はＤＦ−クライアント)は、’’リクエスト（要求）’’メッセージを送り、接続の遠隔端（ＤＦ−サーバ又はＤＦ−クライアント）は、’’レスポンス’’メッセージを送る。
【０１０１】
2007532043.tif 000059
【０１０２】
ＲＮＰ−ＷＰサブプロトコル
ＲＮＰ−ＷＰサブプロトコルはＷｅｂポータル機能をサポートする。Ｗｅｂポータル機能は、正確な情報を得るためにデータをＷｅｂポータルと交換するために必要であった情報にトラフィックを制限する。ＲＮＰ−ＷＰサブプロトコルの現実の実施例は、どのようなサブプロトコルプリミティブも持っていない。
【０１０３】
エンタープライズネットワークにアクセスする安全なレイヤー２を提供するためのこのアプローチの利点は、以下を含む：
・  統合されたインフラストラクチャー。
・  企業は軽量の、または重いアクセスポイントを利用することができる。
・  レイヤー２エンタープライズネットワークを家とパブリックインターネット施設に拡張する。
・  リモートの企業とプリンタ、ＩＰファックスサービス等のローカル資源の両方への同時アクセスのためのオプション。
・  企業ベースのＩＤＳ、ファイアウォール、及びウイルススキャニングをてこ入れする企業の通過だけがインターネットにアクセスするためのオプション。
・  企業キャンパスの中の軽量で、重いアクセスポイントの同時の共同存在は、これらのデバイスの間にシームレスなモビリティを含む。
・  スタンダードは、安全なレイヤー２有線連結性をベースにする。
・  携帯電話のローミングへの簡単なＶｏＩＰ。
【０１０４】
本発明は、企業がリモートアクセスと同様に、両方のローカルキャンパスのワイヤレスアクセスのために同じワイヤレスＬＡＮスイッチを利用することを可能にする統合されたインフラストラクチャーを提供する。現在の使用可能なリモート連結性の解決策とは異なり、ＬＡＮのためにインフラストラクチャーを分離し、ＷＡＮ連結性は展開される必要がない。ＩＴスタッフのために、企業キャンパス上でワイヤレスＬＡＮ展開がリモートアクセスのために作動するので、これは、必要とされているテクニカルサポートの値における減少を含めて、資本及び操作可能な経費の両方を節約する。エンドユーザーのために、これは、リモート連結性及びローカル企業連結性のための挙動が同じになるであろうということを意味している。統合されたインフラストラクチャーは、また、レイヤー２ネットワーキングプロトコルとサービスがリモートユーザーのために使用可能で、従ってリモートユーザーに企業キャンパスネットワークの完全な能力を提供することを意味している。これはいくつかのポリシーベースのレイヤー２能力でも拡張することを含み、企業がリモートユーザーにそのキャンパス中で実行し得る。
【０１０５】
企業は、軽量のアクセスポイント(企業によってより容易に管理される)、重いアクセスポイント(より高価でなく、パブリックインターネットアクセス施設でより遍在する)、又は、両方のコンビネーションを使うことができる。軽量のアクセスポイントは、企業にローカル無線環境の集中制御を与えるためにキャンパスの中で展開されることができる。リモートユーザーのために、トラッドな重いアクセスポイントは、パブリックインターネットアクセスセッティングに用いられることができる。企業は、企業ニーズに依存して、家庭とブランチオフィスのアプリケーションのために重い又は軽量のアクセスポイントの何れかを使うことを望むかもしれない。企業の中で、既存の重いアクセスポイントのコンビネーションは、軽量のアクセスポイントによって増大されることができる。
【０１０６】
ＷｉＦｉ  ＶＰＮは、エンタープライズネットワークを従業員の家に拡張することができる。従業員は、家で彼らのラップトップをオープンし、特殊なリモートＶＰＮクライアントソフトウェアを起動することを必要とせずに直ちに企業レイヤー２ネットワークと接続することができる。従業員は、企業から従業員の家に音声通信を可にするためにまたＶｏＷＬＡＮ電話を利用することができる。さらに、従業員は、ＶｏＷＬＡＮ電話から企業音声インフラストラクチャーを利用している音声通信を開始することができる。
【０１０７】
トレッドなレイヤー３ＶＰＮの解決策のように、ブランチオフィスのためのＷｉＦｉ  ＶＰＮは、高価な専用回線接続と対照的にインターネット接続を介してブランチを企業本部と接続することによって企業が有効な経費節減を実現することを可能にする。トラッドなＶＰＮの解決策とは異なり、ＷｉＦｉ  ＶＰＮはレイヤー２で動作するので、ブランチオフィス内の従業員は、企業キャンパス上で使用可能な同じレガシーアプリケーションにアクセスすることができる。企業の既存のレイヤー２ネットワークを拡張することによって、本発明は、また企業からポリシーベースレイヤー２ネットワーキングを拡張し、ブランチオフィス内でＩＰアドレス指定を簡素化する。
【０１０８】
従業員が道路の上にいて、ホテルブロードバンド方式接続又はホットスポット等のパブリックインターネットアクセス機能を使っている時に、彼らは一般に、ブラウザを使って、パブリックインターネット機能にログインし、それから彼らのリモートＶＰＮクライアントを起動しなければならない。この面倒なプロセスの代わりに、本発明は、インターネット上で存在する企業のＷｉＦｉ  ＶＰＮのパブリックインターネットＩＰアドレスとＵＤＰポート番号に連結性を許すためにパブリックインターネットプロバイダーが従業員の企業とビリング配置を協議することを可能にする。企業は、その時、ビリング目的のためにプロバーダーにＷｉＦｉ  ＶＰＮクライアントの成功した接続を信号で伝えることができる。この機能性は、異なる企業から２人の各個人がホットスポットで単に彼らのＰＣのふたをオープンすることを可能にし、それらはそれぞれ１つのキーストロークまたはマウスの移動を実行せずに彼らの企業施設に自動的に接続されるであろう。
【０１０９】
すべてのＩＰトラフィックがレイヤー２ＷｉＦｉ  ＶＰＮ接続を通ってそらされれば、レイヤー２ＷｉＦｉ  ＶＰＮ企業連結性についての１つの潜在的な問題が起こる。この限界は、ＷｉＦｉ  ＶＰＮクライアントのフォームを得る従来のＶＰＮソフトウェアと同じ操作挙動を有するバーチャルインタフェースソフトウェアの使用を通じて克服されることができる。ＩＰルーティングは、クライアントによってローカルでルートの決まられた物理的なワイヤレス(又は有線)インタフェースを使用しているローカルに(プリンタ、ＩＰファックス・マシン等)到達可能なデバイスように、既存のレイヤー３ＶＰＮクライアントの方法でＷｉＦｉ  ＶＰＮクライアント上で設定されることができる。
【０１１０】
代わりに、企業が、ローカル資源に達することから有線又はワイヤレスのインタフェースを防止することを望むならば、ＷｉＦｉ  ＶＰＮクライアントは、クライアントデバイス上の適切なＩＰルーティングテーブルを設定することによって、全てのトラフィックのための使用することができる。これは、企業のインターネット接続を利用するために、インターネットに出るクライアントハードウェアと企業との間の全てのトラフィックを強制する。結果として、ＩＤＳ、ＩＤＰ、ファイアウォール、及びアンチウィルスプログラム等の企業ツールは、リモートユーザーに適用されることができる。これは、ソフトウェアをコントロールするためにシークしている企業、及び企業のクライアントハードウェアデバイスに入るエージェントのための望ましい機密保護モデルとし得る。
【０１１１】
ＷｉＦｉ  ＶＰＮクライアントの別の利点は、それがトラッドな重いアクセスポイントと軽量のアクセスポイントの間で同時並存を許すことである。本発明に応じたＷｉＦｉ  ＶＰＮクライアントによって、シームレスローミングは、重いアクセスポイントと軽量のアクセスポイントとの間で遂行されることができ、両方ともＷＬＡＮスイッチの同じネットワークに接続している。ローミングに加えて、本発明の中で説明されたすべてのワイヤレス利点は、重いアクセスポイント及び軽量のアクセスポイントの両方にあてはまる。
【０１１２】
本発明は、ワイヤレス及び有線ＬＡＮの両方ともに適用可能である。ＷｉＦｉ  ＶＰＮクライアントのバーチャルインタフェースが有線ＬＡＮに接続されている時に、ワイヤレスＬＡＮスイッチは、ワイヤレスＬＡＮトラフィックが暗号化されために使用される同じ８０２．１ｘ、ＷＰＡ、及び８０２．１１ｉ技術を使っている有線トラフィックを暗号化するために暗号化有線スイッチとして役立つことができる。
【０１１３】
ＶｏＷＬＡＮによる要求は、どのようにＶｏＷＬＡＮと携帯電話の音声コールとを統合するかを決定している。ＷｉＦｉ  ＶＰＮによって、ＶｏＷＬＡＮコールは、企業で終了されることができる。このメカニズムの１つの利点は、どのようなＶｏＷＬＡＮ送受器でもどのようなホットスポットででも使用されることができる、それは、ＷｉＦｉ  ＶＰＮを使用しているもとの企業ＶｏＩＰインフラストラクチャーに接続されることによる。これは、オフザシェルフＶｏＷＬＡＮ送受機がＶｏＷＬＡＮのために本質的にどのようなホットスポットによってでも使用することができ、送受器ユーザーが、単に、該送受器ユーザーの企業拡張に電話することによって世界中どこででも到達可能であることを意味する。ホットスポットの範囲外ならば、携帯電話ネットワークとの統合は、コールを送受器の携帯電話番号から企業のＤＩＤ番号に転送する単純な問題になり、送受器であれば逆もまた同様になる。これはまた、契約業者／臨時従業員の場合のように、直列方式での複数の企業による企業拡張として使われることを、同じ携帯電話番号を有する同じ送受器が可能にする利点を持っている。
【０１１４】
本発明の実施例は、Ｌ２ＴＰやＧＲＥ等の既存のプロトコルより様々な利点を持っているリモートネットワークプロトコル（ＲＮＰ）を含む。いくつかの実施例において、ＲＮＰは、無線（ラジオ）、ステーション認証、及びステーショントラフィックをコントロールし、傍受するために、別個のＵＤＰポート番号を使う。これは、パケットを分類するスイッチ上のコンピュータ処理の負荷をそれらの内容に従って減少させる。それは、また、ステーション認証パケットがデータパケットをブロック化することを防止する。パケットは、代わりにそれらのポート番号に基づいたハードウェアに分類されることができ、それは性能を改善する。ＴＣＰが遅い始動のメカニズムで、軽量のアクセスポイントのためのコンピュータ処理の必要要件を増大させる追加のプロセッシングオーバーヘッドを有するので、ＲＮＰのＵＤＰ性質はまた非常に重要である。
【０１１５】
スイッチアーキテクチャとともにＲＮＰは、すべての時間無反応８０２．１１ＭＡＣレイヤーオペレーションがＷＬＡＮスイッチ上で行われ、時間感応８０２．１１オペレーションが軽量のアクセスポイント上で行われるであろうと仮定する。この８０２．１１レイヤー機能性のスプリットは、ＲＮＰプロトコルが変更する待ち時間よってワイドエリアネットワークを横切る待ち時間トレラントであることを可能にする。不正確なスプリットによって、同様なアプローチはワイドエリアネットワークを横切って適切に動作することができない。データ転送のために、軽量のアクセスポイント上でハイパフォーマンスと低いコンピュータ処理オーバーヘッドを保証するために、ＲＲＰプロトコルは、低いフレームオーバーヘッドを使用する。低いオーバーヘッドは、またＷＬＡＮスイッチ上の性能を補助する。
【０１１６】
この発明の実施例において、ワイヤレスクライアントステーションからの８０２．１１フレームは、ＡＰでＲＦ／ワイヤレスメッシュベースディストリビューションシステムに入り、メッシュ内の他のＡＰ上のＲＦインタフェースを介してインテグレーションサービスポータルに掛け渡されるとともにルートが決定される。システムは、８０２．１１ｉ又はステーショントラフィックがＲＦメッシュに入るＡＰ上の他の暗号化を終了しない。代わりに、フレームは、クライアントトラフィックを暗号解読するために、セキュリティステイトを有するネットワーク内の、有線ネットワーク、又は、ワイヤレスＬＡＮスイッチ、又は、アクセスコントローラ、又は他のデバイスを入植するポイントまでのワイヤレス（８０２．１１）インタフェース上のＲＮＰを介して暗号化フォーマットに掛け渡される。このアプローチは、現在のワイヤレススタンダードと慣例とによって指定されるホップ毎の暗号化を避ける。
【０１１７】
信頼性についてのＲＮＰプロトコルのアプローチは、Ｌ２ＴＰをＧＲＥと比較しても独特である。総称のプロトコルによって、すべてのトラフィックは同一に扱われる。クリティカルな８０２．１１及び８０２．１ｘ認証の搬送保証、及び、レガシープロトコルによる団体フレームのために、すべてのパケットは何とかして搬送を保証されなければならず、有効なオーバーヘッドと遅延を搬送の保証が必要でないデータフレームに追加することができる。搬送が単に保証されていないならば、ネットワークへの成功した認証はより信頼できなくなり、特に、一般に高いパケットエラー率があるインターネット等のワイドエリアパブリックネットワークを横切る。コントラストによるＲＮＰアプローチによって、アプリケーションレベル搬送保証は、ステーション認証情報を搬送するＵＤＰポート上でメンテナンスされ、ステーショントラフィックは、ハイパフォーマンスのために搬送保証なしで異なるＵＤＰポートに乗る。ＴＣＰのようなスライディングウィンドウ、又はリターンフレーム上のピギーバッキング肯定応答を実行するというよりも、それが各メッセージを認証するので、ＲＮＰアプローチもまた、認証トラフィックのためにハイパフォーマンスである。複数のステーションが同じ軽量のアクセスポイントに接続され得るので、’’ストリーム’’の概念は、無線に接続した異なるステーションをデマルチプレックス（逆多重化）するために使用される。各個人のステーションがストリームに地図を作られることができ、また、軽量のアクセスポイントに接続されたすべてのステーションのために新しいＵＤＰポートを開く必要を削除するので、これは性能を改善する。
【０１１８】
ＲＮＰは、端点が異なるデバイス上で終了することができるので、柔軟である。例えば、ＲＮＰ−ＳＭ及びＲＮＰ−ＤＴがクライアント上で始まるならば、クライアントはＷｉＦｉ  ＶＰＮクライアントソフトウェアを有する。アクセスポイントから始まるＲＮＰ−ＳＭ、ＲＮＰ−ＤＴ、及びＲＮＰ−ＲＣとともに、軽量のアクセスポイントは使用される。ＲＮＰトンネルの終了は、１つのワイヤレスＬＡＮスイッチに限定される必要がない。例えば、ＲＮＰ−ＲＣは、ＲＮＰ−ＳＭと異なるデバイス上で終了し、それはＲＮＰ−ＤＴと異なるデバイス上で終了し得る。これは、例えば、一方のデバイスが、多くの軽量のアクセスポイントを管理するために最適化されて、別のデバイスが、８０２．１ｘ認証を終了させるために最適化されて、別のデバイスがデータ暗号化と伝送を実行するために最適化されることをその中にあるワイヤレスＬＡＮスイッチアーキテクチャが可能にし得る。
【０１１９】
ＷｉＦｉ  ＶＰＮクライアントは、多くの問題を解決する。ＷｉＦｉ  ＶＰＮアプリケーションが、ブランチオフィス、遠隔ホームオフィスで企業連結性及びホットスポット連結性に含めて、どこで展開されても、ＷｉＦｉ  ＶＰＮなしでアクセスポイントにＲＮＰプロトコルをロードすることは普通に必要である。実用科学において、これはＷｉＦｉ  ＶＰＮの展開の容易さを制限する。コントラストによるＷｉＦｉ  ＶＰＮクライアントによって、既存の重いアクセスポイントが、トラフィックをワイヤレスＬＡＮスイッチに提供するために操作の平文(暗号化しない)モード内で修正なしで使用できるので、展開はずっと容易である。有線ＬＡＮのために８０２．１１セキュリティ技術をてこ入れすることによって、ＷｉＦｉ  ＶＰＮクライアントは、また暗号化された有線ＬＡＮトラフィックを使用可能にする。ＷｉＦｉ  ＶＰＮクライアントへの別のＬＡＮ利点は、ワイヤレスステーションが、ワイヤレスＬＡＮスイッチと、重いアクセスポイント及び軽量のアクセスポイントの混合とを含むネットワークに接続し得る。このネットワークにおいて、アクセスポイントからアクセスポイントへのワイヤレスステーションの移動はシームレスに処理される。ワイヤレスＬＡＮスイッチを有する他のアプローチは、ワイヤレスＬＡＮスイッチでＩＰＳｅｃ又は他のレイヤー３ＶＰＮターミネーションを利用し、重いアクセスポイントから軽量のアクセスポイントにワイヤレスステーションの移動を許可しない。
【０１２０】
ＷｉＦｉ  ＶＰＮアプリケーションをサポートするために、ワイヤレスＬＡＮスイッチは、ワイヤレスＬＡＮ暗号化アルゴリズムだけでなく両方ともユーザー認証を終了させる。現在のデザインの選択の前に考慮される異なる選択肢は、開示において詳説される。市販されている暗号製品は、ＲＣ４等のハイスピードワイヤレスＬＡＮ暗号化暗号のために使用可能ではないので、特注のＦＰＧＡがアプリケーション固有の暗号手法を提供する。
【０１２１】
ワイヤレスＬＡＮスイッチ又はコントローラアーキテクチャは、カレントスタンダードに基づいたＰＭＫを得る８０２、１１ｉ認証コンポーネントを提供する。
【０１２２】
この発明において説明されるＰＭＫシェアリングは、ＰＭＫがワイヤレスネットワークデバイスを横切ってシェアリングされ、ＩＰ上（ワイヤレス上）の音声等のアプリケーションのために、ローミング待ち時間を減少させることを可能にし、その間に
・  認証、ワイヤレスクライアント、及び認証サーバーの間に信頼バインディングを保存する。
・  ネットワークにアクセスするワイヤレスクライアントをコントロールするために能力と柔軟性を保存する。例えば、スキームを基にした許可トークンは、企業が特定ＡＰへのローミングを禁止することを可能にする。
【０１２３】
ＷｉＦｉ  ＶＰＮ発明は、企業がＷＩＳＰインフラストラクチャーをシェアリングすることを可能にする。この発明によって、それらのネットワークへのアクセスをコントロールすることを可能にする間に、ＷＩＳＰは、ホットスポットサービスを提供し、ホットスポットサービス(企業にビジネスモデルをベースにした貸出料金を使用していることを示すことができる。同時に、このメカニズムは、またＷＩＳＰがどこにそのサービスを提供しても、与えられたクライアントアクセスのために１つの認証を利用する。さらに、それは、それらのそれぞれの企業に安全にアクセスする間、異なるクライアントがインターネット上でどこでも１つのＷＩＳＰインフラストラクチャーを使用することを可能にする。
【０１２４】
前記から、本発明の特定の実施例が説明の目的のためにここに記述されていることは高く評価されるが、様々な修正は、発明の特質と範囲から逸脱せずに行うことが可能である。それに応じて、本発明は付加された請求項を除いて制限されない。
【図面の簡単な説明】
【０１２７】
【図１】  図１は、本発明の実施例に基づくＳＴＡ−−−ＡＰ−−Ｌ２／Ｌ３ネットワークＷＶＬＡＮを例示する。
【図２】  図２は、本発明の実施例に基づく暗号化の複数のタイプを例示する。
【図３】  図３は、ＫＮＰプロトコルの実施例の説明図である。
【図４】  図４は、ＩＰトンネル中のＩＰの実施例とＧＲＥトンネルの実施例を例示する。
【図５】  図５は、ＭＰＬＳトンネルの実施例を例示する。
【図６】  図６は、区別されたサービスＴＥトンネルの実施例、ＴＥの実施例を例示する。
【図７】  図７は、本発明の実施例に基づくＲＮＰプロトコルヘッダを例示する。
【図８】  図８は、本発明の実施例に基づくヘッダ経由を介して５つのサブトンネルに入るＲＮＰプロトコルデータの流れを例示する。
【図９】  図９：本発明の実施例に基づくＲＮＰ仮想クライアント(ＲＲＰ)の実施例を例示する。
【図１０】  図１０は、本発明の実施例に基づく代表のＷｉＦｉ  ＶＰＮクライアント中の操作及びパケットフローを例示する。
【図１１】  図１１は、本発明の実施例に基づき、８０２．１１ｉ、ＷＰＡ、ＷＰＡ２、暗号化されなかったＲＣ−４中で暗号化されたレイヤー２を例示する。
【図１２】  図１２は、本発明の実施例に基づくインプリンティングステップを例示する。
【図１３】  図１３は、本発明の実施例に基づくアクセスポイントのためにステイトマシンを例示する。
【図１４】  図１４は、本発明の実施例に基づくＲＮＰ−ＲＣメッセージ用のメッセージフォーマットを例示する。
【図１５】  図１５は、本発明の実施例に基づくアクセスポイントステイトマシン当りのＷＬＡＮ当りの１つを例示する。
【図１６】  図１６は、本発明の実施例に基づくタプルのセキュリティキー（ＶＬＡＮ、ＢＢＳＩＤ、セキュリティタイプ)によるセキュリティモデルを例示する。
【図１７】  図１７は、本発明の実施例に基づくセキュリティキーからユニキャスト、ブロードキャスト、及びマルチキャストトラフィックのＬＥＫ／ＲＥＫ暗号化を例示する。
【図１７ａ】  図１７ａは、本発明の実施例に基づくブロードキャスト／マルチキャストのセパレーションを例示する。
【図１７ｂ】  図１７ｂは、本発明の実施例に基づくユニキャストセパレーションを例示する。
【図１８】  図１８は、本発明の実施例に基づくＬＥＫ／ＲＥＫ暗号化によってＲＮＰバーチャルクライアントを例示する。
【図１８ａ】  図１８ａは、本発明の実施例に基づくＲＮＰバーチャルクライアント−ＬＥＫ、ＲＥＫ誘導、及びＲＮＰバーチャルクライアント暗号化を例示する。
【図１８ｂ】  図１８ｂは、ＲＲＰクライアント−ＬＥＫ／ＲＥＫ誘導、及びＲＮＰバーチャルクライアントを例示する。
【図１８ｃ】  図１８ｃは、本発明の実施例に基づくローカルＡＰ及びＷＬＡＮコントローラによってＲＲＲＰクライアントトラフィック暗号解読を例示する。
【図１８ｄ】  図１８ｄは、本発明の実施例に基づくローカルＡＰ及びＷＬＡＮコントローラによる−ＲＲＰクライアントトラフィック暗号化を例示する。
【図１９】  図１９は、本発明の実施例に基づくＬＥＫ及びＲＥＫ暗号化フレームフォーマットを例示する。
【図２０】  図２０は、本発明の実施例に基づくワイヤレスメッシュのＷｉＦｉ  ＶＰＮを例示する。
【図２１】  図２１は、本発明の実施例に基づくＰＭＫシェアリング  例えばＰＭＫ／Ｓ−ＰＭＫフローを例示する。
【図２２】  図２２は、本発明の実施例に基づくＰＭＫシェアリングパケットフローを例示する。
【図２３】  図２３：本発明の実施例に基づくＲＮＰ−ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２４】  図２４：本発明の実施例に基づくＲＮＰ  ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２５】  図２５：本発明の実施例に基づくＲＮＰ  ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２６】  図２６：本発明の実施例に基づくＲＮＰ＿ＲＣパケットのためのプロトコルＰＤＵを例示する。
【図２７】  図２７：本発明の実施例に基づくＲＮＰ−ＲＣパケット＃５のためのプロトコルＰＤＵを例示する。
【図２８】  図２８：本発明の実施例に基づくＲＮＰ＿ＲＣパケット＃６のためのプロトコルＰＤＵＳを例示する。
【図２９】  図２９：ＲＮＰ＿ＲＣとのプロトコル交換を例示する。
【図３０】  図３０：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃１のためのプロトコルＰＤＵを説明する。
【図３１】  図３１：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃２のためのＲＮＰ  ＰＤＵを例示する。
【図３２】  図３２：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃３のためのＲＮＰ  ＰＤＵを例示する。
【図３３】  図３３：本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃４のためにＲＮＰ  ＰＤＵを例示する。
【図３４】  図３４は、本発明の実施例に基づくＲＮＰ＿ＳＭパケット＃５のためにＲＮＰ  ＰＤＵを例示する。
【図３５】  図３５は、ＲＮＰ−ＳＭサブプロトコルとのＲＮＰ  ＰＤＵ交換を例示する。
【図３６】  図３６は、８０２．１認証とのＲＮＰ交換を例示する。
【図３７】  図３７は、本発明の実施例に基づくＲＮＰ−ＤＴサブプロトコルのためのＲＮＰパケットを例示する。
【図３８】  図３８は、本発明の実施例に基づくＲＮＰ−ＤＦサブプロトコル（＃１）のためのＲＮＰパケットを例示する。
【図３９】  図３９は、本発明の実施例に基づくＲＮＰ−ＤＦサブプロトコル（＃２）のためのＲＮＰパケットを例示する。
【図４０】  図４０は、本発明の実施例に基づくＲＮＰ−ＷＰサブプロトコルのためのＲＮＰパケットを例示する。
【図４１】  図４１は、本発明の実施例に基づくアソシエーションのためのＳＭ及びＤＦを示すＲＮＰパケットフローを例示する。
【図４２】  図４２は、本発明の実施例に基づくリアソシエイションを示すＲＮＰパケットフローを例示する。
【図４３】  図４３は、本発明の実施例に基づくインプリンティング及びＲＮＰセキュリティを示す：ＲＮＰパケットフローを例示する。
【図４４】  図４４は、本発明の実施例に基づくＲＮＰ−ＷＰのためのＲＮＰ  ＰＤＵフローを例示する。
【図４５】  図４５は、本発明の実施例に基づく共有のＷＩＳＰインフラストラクチャー上の企業認証を例示する。
【図４６】  図４６は、本発明の実施例に基づく共有のＷＩＳＰ上の企業認証を例示する。
【手続補正２】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2007532043.tif 000060
【図２】
2007532043.tif 000061
【図３】
2007532043.tif 000062
【図４】
2007532043.tif 000063
【図５】
2007532043.tif 000064
【図６】
2007532043.tif 000065
【図７】
2007532043.tif 000066
【図８】
2007532043.tif 000067
【図９】
2007532043.tif 000068
【図１０】
2007532043.tif 000069
【図１１】
2007532043.tif 000070
【図１２】
2007532043.tif 000071
【図１３】
2007532043.tif 000072
【図１４】
2007532043.tif 000073
【図１５】
2007532043.tif 000074
【図１６】
2007532043.tif 000075
【図１７】
2007532043.tif 000076
【図１７ａ】
2007532043.tif 000077
【図１７ｂ】
2007532043.tif 000078
【図１８】
2007532043.tif 000079
【図１８ａ】
2007532043.tif 000080
【図１８ｂ】
2007532043.tif 000081
【図１８ｃ】
2007532043.tif 000082
【図１８ｄ】
2007532043.tif 000083
【図１９】
2007532043.tif 000084
【図２０】
2007532043.tif 000085
【図２１】
2007532043.tif 000086
【図２２】
2007532043.tif 000087
【図２３】
2007532043.tif 000088
【図２４】
2007532043.tif 000089
【図２５】
2007532043.tif 000090
【図２６】
2007532043.tif 000091
【図２７】
2007532043.tif 000092
【図２８】
2007532043.tif 000093
【図２９】
2007532043.tif 000094
【図３０】
2007532043.tif 000095
【図３１】
2007532043.tif 000096
【図３２】
2007532043.tif 000097
【図３３】
2007532043.tif 000098
【図３４】
2007532043.tif 000099
【図３５】
2007532043.tif 000100
【図３６】
2007532043.tif 000101
【図３７】
2007532043.tif 000102
【図３８】
2007532043.tif 000103
【図３９】
2007532043.tif 000104
【図４０】
2007532043.tif 000105
【図４１】
2007532043.tif 000106
【図４２】
2007532043.tif 000107
【図４３】
2007532043.tif 000108
【図４４】
2007532043.tif 000109
【図４５】
2007532043.tif 000110
【図４６】
2007532043.tif 000111
【国際調査報告】
2007532043.tif 000112