(57)【要約】【課題】仮想ＬＡＮにセキュリティを確保して通信端末を収容する。【解決手段】基地局１１１において、取得手段２３２が仮想ＬＡＮごとに設定されたセキュリティ情報を認証サーバから取得する。配信手段２３１がセキュリティ情報を仮想ＬＡＮごとに配信する。受信手段がセキュリティ情報に基づいて処理されたマルチキャストデータ等を仮想ＬＡＮ中の通信端末から受信する。復号手段がマルチキャストデータ等を復号する。発見手段がマルチキャストデータ等の宛先である端末が属している仮想ＬＡＮを発見する。処理手段２３３が仮想ＬＡＮに対応するセキュリティ情報に基づいて、マルチキャストデータ等に処理を施す。送信手段がマルチキャストデータ等の宛先である端末に、処理されたマルチキャストデータ等を送信する。【選択図】    図２
2004312257.tif 000002
【特許請求の範囲】
【請求項１】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末が行う通信を仮想ＬＡＮを介して転送する基地局において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備することを特徴とする基地局。
【請求項２】
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項１に記載の基地局。
【請求項３】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して転送し、該有線端末に有線で接続している基地局において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
マルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信するデータ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備することを特徴とする基地局。
【請求項４】
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記有線端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項３に記載の基地局。
【請求項５】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して転送し、該有線端末に有線で接続している基地局において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である前記有線端末に、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備することを特徴とする基地局。
【請求項６】
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記宛先である有線端末に対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記宛先である有線端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項５に記載の基地局。
【請求項７】
前記セキュリティ情報は、その仮想ＬＡＮの通信に使用されるセキュリティプロトコル、データを暗号化するための鍵、認証情報を示す認証鍵、及びそれら鍵の更新条件のうち少なくとも１つを含むことを特徴とする請求項１又は請求項３又は請求項５に記載の基地局。
【請求項８】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継する基地局に接続する中継装置において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記復号されたマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記基地局を介して送信するセキュリティ処理データ送信手段を具備することを特徴とする中継装置。
【請求項９】
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに前記基地局を介して配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項８に記載の中継装置。
【請求項１０】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継し、該有線端末に有線で接続している基地局に接続する中継装置において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
マルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信するデータ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記基地局を介して送信するセキュリティ処理データ送信手段を具備することを特徴とする中継装置。
【請求項１１】
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに前記基地局を介して配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記有線端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記有線端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項１０に記載の中継装置。
【請求項１２】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末と通信を行う有線端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継し、該有線端末に有線で接続している基地局に接続する中継装置において、
前記仮想ＬＡＮごとに生成されたセキュリティ情報を前記認証サーバから取得するセキュリティ情報取得手段と、
前記セキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、
前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信するセキュリティ処理データ受信手段と、
前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、
前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である前記有線端末に、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかを前記基地局を介して送信するセキュリティ処理データ送信手段を具備することを特徴とする中継装置。
【請求項１３】
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに前記基地局を介して配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から前記基地局を介して受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、
前記宛先である有線端末に対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記宛先である有線端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段をさらに具備することを特徴とする請求項１２に記載の中継装置。
【請求項１４】
前記セキュリティ情報は、その仮想ＬＡＮの通信に使用されるセキュリティプロトコル、データを暗号化するための鍵、認証情報を示す認証鍵、及びそれら鍵の更新条件のうち少なくとも１つを含むことを特徴とする請求項８又は請求項１０又は請求項１２に記載の中継装置。
【請求項１５】
仮想ＬＡＮ情報を含んでいるビーコンフレームをブロードキャストする送信手段を具備する基地局と、
前記仮想ＬＡＮ情報を取得する情報取得手段と、前記取得された仮想ＬＡＮ情報に基づいて前記基地局に接続することが可能か否かを判定する接続判定手段と、前記基地局に接続することが可能であると判定した場合に前記基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を具備することを特徴とする通信システム。
【請求項１６】
通信端末からのプローブ要求フレームを受信する受信手段と、該プローブ要求フレームに応答して仮想ＬＡＮ情報を含んでいるプローブ応答フレームを前記通信端末に送信する送信手段とを具備する基地局と、
前記プローブ要求フレームをブロードキャストする送信手段と、前記仮想ＬＡＮ情報を取得する取得手段と、前記取得された仮想ＬＡＮ情報に基づいて前記基地局に接続することが可能か否かを判定する判定手段と、前記基地局に接続することが可能であると判定した場合に前記基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を具備することを特徴とする通信システム。
【請求項１７】
認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、該通信端末が行う通信を仮想ＬＡＮを介して中継する基地局からなる通信システムにおいて、
前記仮想ＬＡＮごとにセキュリティ情報を生成するセキュリティ情報生成手段と、該生成したセキュリティ情報を対応する仮想ＬＡＮに配信するセキュリティ情報配信手段を具備する認証サーバと、
前記基地局から仮想ＬＡＮ情報を取得する取得手段と、前記取得した仮想ＬＡＮ情報に基づいて前記基地局に接続することが可能か否かを判定する判定手段と、前記基地局に接続することが可能であると判定した場合に前記基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末と、
前記セキュリティ情報を取得するセキュリティ情報取得手段と、前記取得したセキュリティ情報を前記仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、前記配信したセキュリティ情報に基づいて前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記通信端末から受信するセキュリティ処理データ受信手段と、前記通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、前記発見された仮想ＬＡＮに対応するセキュリティ情報に基づいて、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、前記復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備する基地局を具備することを特徴とする通信システム。
【請求項１８】
前記基地局は、さらに、
前記仮想ＬＡＮごとに設定された通信品質保証情報を前記認証サーバから取得する保証情報取得手段と、
前記通信品質保証情報を前記仮想ＬＡＮごとに配信する保証情報配信手段と、
前記配信した通信品質保証情報に基づいて前記通信端末が品質保証処理したマルチキャストデータ及びブロードキャストデータのいずれかを前記仮想ＬＡＮ中の通信端末から受信する品質保証処理データ受信手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する品質保証処理仮想ＬＡＮ発見手段と、
前記発見した仮想ＬＡＮに対応する通信品質保証情報に基づいて、前記受信したマルチキャストデータ及びブロードキャストデータのいずれかに品質保証処理を施す品質保証処理手段と、
前記受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、前記品質保証処理を施したマルチキャストデータ及びブロードキャストデータのいずれかを送信する品質保証処理データ送信手段を具備することを特徴とする請求項１７に記載の通信システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、無線ネットワークにおけるセキュリティに関する基地局、中継装置及び通信システム。
【０００２】
【従来の技術】
昨今、携帯可能なノートパソコンの普及にともなって、ＩＥＥＥ８０２．１１に代表される無線ＬＡＮが、ケーブルに縛られることのないその利便性から、広く用いられるようになっている。また、最大で５４Ｍｂｐｓの伝送速度を持つＩＥＥＥ８０２．１１ａの登場により、今後益々普及が進むと考えられる。その一方で無線の持つ特徴から、悪意の第３者に容易に通信を傍受されるという危険性もあわせもっている。現行の無線ＬＡＮにおいては、ユーザないしは無線端末ごとの認証の手段はなく、またデータの暗号方式も全ての端末で共通の鍵を用いた暗号化方式（例えば、非特許文献１参照）で、既に脆弱性が指摘されている。その中でユーザごとの認証が行えるＩＥＥＥ８０２．１Ｘを無線ＬＡＮに拡張した方式が提案され、またユーザごとに異なる鍵を用いて暗号化通信を行う方式が登場している。
【０００３】
また、別の技術として仮想ＬＡＮと呼ばれる、物理的には同一セグメントに属するネットワークを識別タグをフレームに付加することで、論理的に複数のセグメントに分離する技術も確立されている。
【０００４】
【非特許文献１】
ＩＥＥＥ  Ｓｔｄ  ８０２．１Ｑ−１９９８，  ”ＩＥＥＥ  Ｓｔａｎｄａｒｄｓ  ｆｏｒ  Ｌｏｃａｌ  ａｎｄ  Ｍｅｔｒｏｐｏｌｉｔａｎ  Ａｒｅａ  Ｎｅｔｗｏｒｋｓ：  Ｖｉｒｔｕａｌ  Ｂｒｉｄｇｅｄ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成１５年３月１日検索］、
インターネット＜ｈｔｔｐ：／／ｓｔａｎｄａｒｄｓ．ｉｅｅｅ．ｏｒｇ／ｇｅｔｉｅｅｅ８０２／ｄｏｗｎｌｏａｄ／８０２．１Ｑ−１９９８．ｐｄｆ＞
【０００５】
【発明が解決しようとする課題】
ＩＥＥＥ８０２．１１に代表される無線ネットワークにおいては、その利便性に付随してセキュリティ面に多くの課題を残している。そのような中で異なる仮想ＬＡＮに属する無線端末を互いの仮想ＬＡＮの独立性を保持したまま、かつユーザが仮想ＬＡＮのフレーミングを意識することなく収容できる技術が今後重要になってくると考える。しかしながら現状のＩＥＥＥ８０２．１Ｘの無線ＬＡＮ拡張方式のみでは、ユニキャストフレームに関するセキュリティ情報（暗号に用いる鍵など）は無線端末ごとに変えることができるが、マルチキャスト／ブロードキャストフレームに関しては全ての端末で同一のセキュリティ情報を用いることしかできない。
【０００６】
そこで本発明では認証されたユーザ、あるいは無線端末が、認証の時に通知された識別情報をもとに仮想ＬＡＮにセキュリティを確保して収容することができ、かつ複数の仮想ＬＡＮを収容した際には仮想ＬＡＮごとに異なるマルチキャスト／ブロードキャスト情報を設定することで、仮想ＬＡＮ間のセキュリティも確保して収容することのできるシステムを提案する。
【０００７】
【課題を解決するための手段】
本発明の基地局は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末が行う通信を仮想ＬＡＮを介して転送する基地局において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を備えている。
【０００８】
また、本発明の基地局は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して転送し、有線端末に有線で接続している基地局において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、マルチキャストデータ及びブロードキャストデータのいずれかを有線端末から受信するデータ受信手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を備えている。
【０００９】
さらに、本発明の基地局は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して転送し、有線端末に有線で接続している基地局において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末に、復号したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を備えている。
【００１０】
本発明の中継装置は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末が行う通信を仮想ＬＡＮを介して中継する基地局に接続する中継装置において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から基地局を介して受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、復号されたマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ又はブロードキャストデータを基地局を介して送信するセキュリティ処理データ送信手段を備えている。
【００１１】
また、本発明の中継装置は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して中継し、有線端末に有線で接続している基地局に接続する中継装置において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、マルチキャストデータ及びブロードキャストデータのいずれかを有線端末から受信するデータ受信手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見する仮想ＬＡＮ発見手段と、発見した仮想ＬＡＮに対応するセキュリティ情報に基づいて、受信したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、受信したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、セキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを基地局を介して送信するセキュリティ処理データ送信手段を備えている。
【００１２】
さらに、本発明の中継装置は、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末と通信を行う有線端末と、通信端末が行う通信を仮想ＬＡＮを介して中継し、有線端末に有線で接続している基地局に接続する中継装置において、仮想ＬＡＮごとに生成されたセキュリティ情報を認証サーバから取得するセキュリティ情報取得手段と、セキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを仮想ＬＡＮ中の通信端末から基地局を介して受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である有線端末に、復号したマルチキャストデータ及びブロードキャストデータのいずれかを基地局を介して送信するセキュリティ処理データ送信手段を備えている。
【００１３】
本発明の通信システムは、仮想ＬＡＮ情報を含んでいるビーコンフレームをブロードキャストする送信手段を具備する基地局と、仮想ＬＡＮ情報を取得する情報取得手段と、取得された仮想ＬＡＮ情報に基づいて基地局に接続することが可能か否かを判定する接続判定手段と、基地局に接続することが可能であると判定した場合に基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を備えている。
【００１４】
また、本発明の通信システムは、通信端末からのプローブ要求フレームを受信する受信手段と、プローブ要求フレームに応答して仮想ＬＡＮ情報を含んでいるプローブ応答フレームを通信端末に送信する送信手段とを具備する基地局と、プローブ要求フレームをブロードキャストする送信手段と、仮想ＬＡＮ情報を取得する取得手段と、取得された仮想ＬＡＮ情報に基づいて基地局に接続することが可能か否かを判定する判定手段と、基地局に接続することが可能であると判定した場合に基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末を備えている。
【００１５】
本発明の通信システムは、認証サーバと、この認証サーバからネットワークを介して認証を受ける通信端末と、通信端末が行う通信を仮想ＬＡＮを介して中継する基地局からなる通信システムにおいて、仮想ＬＡＮごとにセキュリティ情報を生成するセキュリティ情報生成手段と、生成したセキュリティ情報を対応する仮想ＬＡＮに配信するセキュリティ情報配信手段を具備する認証サーバと、基地局から仮想ＬＡＮ情報を取得する取得手段と、取得した仮想ＬＡＮ情報に基づいて基地局に接続することが可能か否かを判定する判定手段と、基地局に接続することが可能であると判定した場合に基地局との間で無線リンクを確立するリンク確立手段を具備する通信端末と、セキュリティ情報を取得するセキュリティ情報取得手段と、取得したセキュリティ情報を仮想ＬＡＮごとに配信するセキュリティ情報配信手段と、配信したセキュリティ情報に基づいて通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを通信端末から受信するセキュリティ処理データ受信手段と、通信端末がセキュリティ処理したマルチキャストデータ及びブロードキャストデータのいずれかを復号するセキュリティ処理データ復号手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末が属している仮想ＬＡＮを発見するセキュリティ処理仮想ＬＡＮ発見手段と、発見された仮想ＬＡＮに対応するセキュリティ情報に基づいて、復号したマルチキャストデータ及びブロードキャストデータのいずれかをセキュリティ処理するセキュリティ処理手段と、復号したマルチキャストデータ及びブロードキャストデータのいずれかの宛先である通信端末に、処理したマルチキャストデータ及びブロードキャストデータのいずれかを送信するセキュリティ処理データ送信手段を具備する基地局を具備することを備えている。
【００１６】
以上の構成によれば、各仮想ＬＡＮをセグメント間のセキュリティを確保したまま分離し、適切なフレームの転送を行うことが可能となる。
【００１７】
例えば、ＩＥＥＥ８０２．１１に代表される無線ネットワークにおいて、認証された無線端末が、認証の時に通知されたセキュリティ情報をもとに仮想ＬＡＮにセキュリティを確保して収容することができる。
さらに、その際に仮想ＬＡＮごとに異なるマルチキャスト／ブロードキャスト情報を設定することで、仮想ＬＡＮ間のセキュリティも確保して収容することができる。
【００１８】
加えて無線基地局は遠隔のＶＰＮサーバとＶＰＮトンネルを生成することで、物理的に遠隔にあるネットワークの仮想ＬＡＮの収容も可能となり、これによって例えば、公衆無線ＬＡＮ基地局から社内ネットワークにセキュリティを保持したまま接続することも可能となる。
【００１９】
また、上記の中継装置によれば、既存の無線基地局を改良することなく、各仮想ＬＡＮをセグメント間のセキュリティを確保したまま分離し、適切なフレームの転送を行うことが可能となる。
【００２０】
【発明の実施の形態】
以下、図面を参照しながら発明の基地局、中継装置及び通信システムに関する実施の形態を説明する。
図１は、本発明の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図である。
ネットワーク１０１、１０２は複数のサブネットワーク（図示せず）とそれぞれを相互接続するルータ（図示せず）から構成されている。ネットワーク１０１、１０２は、互いに独立に管理されるネットワークである。具体的には社内イントラネットなどが挙げられるが、社内イントラネットに限定するものではない。ルータは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のルーティング機能を実現する。
【００２１】
各サブネットワークは、いわゆるＬＡＮセグメントに対応している。ＬＡＮセグメントは物理的なセグメントである場合もあれば、論理的に構成されているセグメントである場合もある。後者の場合が、いわゆる仮想ＬＡＮ（Ｖｉｒｔｕａｌ  ＬＡＮ：ＶＬＡＮ）によるＬＡＮセグメントである。図１では仮想ＬＡＮ１３１、１３２はネットワーク１０１のサブネットワークであり、仮想ＬＡＮ１３３、１３４は後述するＶＰＮトンネルによりネットワーク１０２のサブネットワークである。
【００２２】
ネットワーク１０１とｔｈｅ  Ｉｎｔｅｒｎｅｔはゲートウェイ１６１により相互接続されている。同様にネットワーク１０２とｔｈｅ  Ｉｎｔｅｒｎｅｔはゲートウェイ１６２により相互接続されている。ゲートウェイ１６１、１６２はルータの機能を持つ。また、ネットワーク１０１、１０２は端末１５１、１５２、１５３を接続して、各端末１５１、１５２、１５３はネットワークを介してデータ通信を実行している。各端末１５１、１５２、１５３は有線で無線基地局１１１、１１２、１１３と接続している。
【００２３】
ネットワーク１０１は１つ以上の無線基地局１１１、１１２、１１３を接続している。本実施形態では、この無線基地局１１１、１１２、１１３がＩＥＥＥ８０２．１１、ないしそれに類似した無線ＬＡＮ規格に基づく基地局である。
【００２４】
無線基地局１１１、１１２、１１３はそれぞれ１つ以上の無線端末を収容することができる。無線端末１４１、１４２は仮想ＬＡＮ１３１に属し、無線端末１４３は仮想ＬＡＮ１３２に属し、無線端末１４４は仮想ＬＡＮ１３３に属し、無線端末１４５、１４６は仮想ＬＡＮ１３４に属している。図１では、無線基地局１１１が無線端末１４１、１４２、１４３を収容し、無線基地局１１２が無線端末１４４、１４５、１４６を収容している。
【００２５】
さらに、ネットワーク１０１、１０２はそれぞれ認証・管理サーバ１２１、１２２を接続している。認証・管理サーバ１２１は各無線端末１４１、１４２、１４３、１４４、１４５、１４６、ないしそのユーザのうち、ネットワーク１０１に属するものに関する認証とセキュリティ情報の生成及び配信を行う。さらに認証・管理サーバ１２１は各無線端末がどの仮想ＬＡＮに属しているかという対応関係、ＱｏＳ（Ｑｕａｌｉｔｙ  ｏｆ  Ｓｅｒｖｉｃｅ）設定のポリシーを管理している。図１では、認証・管理サーバ１２１は、ネットワーク１０１のサブネットワークである仮想ＬＡＮ１３１、１３２に属する無線端末１４１、１４２、１４３を管理する。
【００２６】
同様に認証・管理サーバ１２２は各無線端末１４１、１４２、１４３、１４４、１４５、１４６、ないしそのユーザのうち、ネットワーク１０２に属するものに関する認証とセキュリティ情報の生成及び配信を行う。さらに認証・管理サーバ１２２は各無線端末がどの仮想ＬＡＮに属しているかという対応関係、ＱｏＳ設定のポリシーを管理している。図１では、認証・管理サーバ１２２は、ネットワーク１０２のサブネットワークである仮想ＬＡＮ１３３、１３４に属する無線端末１４４、１４５、１４６を管理する。
【００２７】
以上の構成により、各無線端末１４１、１４２、１４３、１４４、１４５、１４６を適切な仮想ＬＡＮ１３１、１３２、１３３、１３４に帰属させ、各仮想ＬＡＮをセグメント間のセキュリティを確保したまま分離し、適切なフレームの転送を行う。これによって、ブロードキャスト／マルチキャストセキュリティ情報は仮想ＬＡＮごとに設定することができ、仮想ＬＡＮごとのセキュリティも確保することができる。
【００２８】
ネットワーク１０２はＶＰＮサーバ１７１を接続している。ＶＰＮサーバ１７１は、ＰＰＴＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）、Ｌ２ＴＰに代表されるＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）のサーバ機能をもち、ＶＰＮ機能を持つクライアントからのＶＰＮトンネル生成の要求に応答し、ＶＰＮトンネルを生成することができる。図１では、無線基地局１１２は、ネットワーク１０２のサブネットワークである、仮想ＬＡＮ１３３、１３４に属する無線端末を収容するために、後述するＶＰＮ機能２１２とＶＰＮサーバ１７１の間でＶＰＮトンネルを生成する。これによって物理的には異なるネットワークに属する無線基地局１１２が、論理的にはネットワーク１０２と同じネットワークに属することができる。
【００２９】
セキュリティ上の理由から、ゲートウェイ１６１、１６２はさらにファイアウォールの機能を持っていても良い。また、ゲートウェイ１６１、１６２は、必ずしも物理的に一つの装置から構成される必要は無く、ルータやファイアウォールなど複数の物理的な装置とそれらを相互接続するネットワーク（サブネットワーク）の組合せで構成される場合もあり得る。
本実施形態の無線基地局は、ＩＥＥＥ８０２．１１、ないしそれに類似した無線ＬＡＮ規格に基づくものであるが、一般には無線技術をこれらの規格に限る必要は無く、また複数種類の無線技術が１つのネットワークに混在しても良い。
認証・管理サーバ１２１、１２２は複数の物理的な装置によって構成されていても良い。
【００３０】
図２は、図１の無線基地局１１１、１１２、１１３のブロック図である。ここでは無線基地局１１１、１１２、１１３を代表して無線基地局１１１について説明する。
制御・管理機能２０１は、セキュリティ制御・管理機能２０２、ＶＬＡＮ制御・管理機能２０３、ＱｏＳ制御・管理機能２０４を含み、無線基地局１１１が実行するセキュリティ、仮想ＬＡＮ、通信のサービス品質（ＱｏＳ）に関する制御及び管理を行う。
セキュリティ制御・管理機能２０２は、仮想ＬＡＮごとのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報に関する制御及び管理を行う。また、セキュリティ制御・管理機能２０２は、無線端末ごとのユニキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報に関する制御及び管理も行う。
【００３１】
ＶＬＡＮ制御・管理機能２０３は、指定された仮想ＬＡＮに無線端末を収容するように制御し、仮想ＬＡＮを管理する。ＶＬＡＮ制御・管理機能２０３が、セキュリティ制御・管理機能２０２に指示を出力して、仮想ＬＡＮのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報を、セキュリティ機能２３３が無線端末に送信するように制御させる。
【００３２】
また、ＶＬＡＮ制御・管理機能２０３は、仮想ＬＡＮが無線基地局１１１に既に組み込まれている状況の下では、セキュリティ制御・管理機能２０２を指示して、仮想ＬＡＮのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報を、後述するセキュリティ機能２３３が無線端末に送信するように制御する。
【００３３】
例えば、ビーコンフレーム（Ｂｅａｃｏｎ  Ｆｒａｍｅ）に埋め込まれる仮想ＬＡＮに関する情報は、無線基地局１１１のＶＬＡＮ制御・管理機能２０３を使って、予め適当に設定されている。設定される内容は、ＶＬＡＮ制御・管理機能２０３が、無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４を適当に制御することにより、ビーコンフレームに反映される。
【００３４】
無線基地局のＱｏＳ制御・管理機能２０４は、仮想ＬＡＮ内のユーザデータに割り当てる帯域を設定することのできる最大帯域の制限や最低保証帯域を規定する。無線基地局のＱｏＳ制御・管理機能２０４は、ＶＬＡＮごとに最大帯域が設定されているような場合に、無線ＭＡＣ／ＤＬレイヤ２３１のＱｏＳ機能２３５に指示することで、この仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御する。
【００３５】
ルーティング機能２１１は、ＩＰの機能を実現し、無線端末及びネットワーク１０１との間でデータパケットを送受信する。また、ルーティング機能２１１は、ＶＰＮ機能２１２を含んでいる。ＶＰＮ機能２１２は、必要なＶＰＮを設定する場合に動作する。ＶＬＡＮ制御・管理機能２０３が、必要なＶＰＮを設定するためにＶＰＮ機能２１２を制御する。例えば、上述したようにＬ２ＴＰやＰＰＴＰなどを用いてトンネルを生成する処理を行う。図１では、無線基地局１１２は、ネットワーク１０２のサブネットワークである仮想ＬＡＮ１３３、１３４を収容するために、ＶＰＮサーバ１７１との間に、ＶＬＡＮ制御・管理機能２０３を用いてＶＰＮトンネルを生成している。さらにＶＬＡＮ制御・管理機能２０３は、ＩＰＳｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｉｔｙ）で指定された接続先との間にトンネルを生成してもよい。
【００３６】
ブリッジ機能２２１はＶＬＡＮ機能２２２とＱｏＳ機能２２３を含んでいる。ＶＬＡＮ機能２２２は、無線側と有線側の間をブリッジして、無線側と有線側との間の通信を可能にする。ＱｏＳ機能２２３は、無線端末の帯域の保証や制限を行った通信を可能にしたり、有線側の仮想ＬＡＮ帯域も制御する。
【００３７】
無線ＭＡＣ／ＤＬレイヤ２３１は、セキュリティ機能２３３、ＶＬＡＮ機能２３４、ＱｏＳ機能２３５を含む。セキュリティ機能２３３は無線側で送受信するフレームの暗号・認証処理を行う。
【００３８】
セキュリティ機能２３３は、送受信されるフレームがマルチキャスト又はブロードキャストフレームの場合、ＶＬＡＮ機能２３４と協調して動作することにより、仮想ＬＡＮごとに設定されているセキュリティ情報を利用して、送受信するフレームの暗号・認証処理を行う。セキュリティ機能２３３は、送受信されるフレームがユニキャストフレームの場合、無線端末ごとに設定されたセキュリティ情報を利用して、送受信するフレームの暗号・認証処理を行う。
また、セキュリティ機能２３３は、認証が成功するまでの間、認証・セキュリティ情報配信などに関する予め定められた特定のメッセージ以外のユーザデータなどに関するメッセージをブロックする。
【００３９】
ＶＬＡＮ機能２３４は、ユーザデータの交換の際に、無線基地局１１１から無線端末１４１、１４２、１４３へデータの送信をする時、無線端末１４１、１４２、１４３側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して送信する。
ＱｏＳ機能２３５は、仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御するための機能である。
【００４０】
無線物理レイヤ２４１は、無線端末と無線基地局１１１との間の無線通信を実行する際の物理レイヤである。例えば、無線ＭＡＣ／ＤＬレイヤ２３１によって生成されるビーコンフレーム、プローブ応答フレーム（Ｐｒｏｂｅ  Ｒｅｓｐｏｎｓｅ  Ｆｒａｍｅ）及びプローブ要求フレーム（Ｐｒｏｂｅ  Ｒｅｑｕｅｓｔ  Ｆｒａｍｅ）は、無線物理レイヤ２４１により無線信号として送信される。また、無線端末と無線基地局の間の通信は、ＩＰ層を用いることなく、無線基地局の無線ＭＡＣ／ＤＬレイヤ２３１と無線物理レイヤ２４１、後述する無線端末の無線ＭＡＣ／ＤＬレイヤ３３１と無線物理レイヤ３４１により、無線ＬＡＮのリンク層の機能を利用して行われる。
【００４１】
有線ＭＡＣ／ＤＬレイヤ２３２と有線物理レイヤ２４２は、イーサネット（Ｅｔｈｅｒｎｅｔ）（登録商標）へのアクセスの機能を提供する。ＶＬＡＮ機能２３６は、端末側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して宛先に送信する。ＱｏＳ機能２３７は有線側の仮想ＬＡＮ帯域を制御する場合に使用される。
【００４２】
図３は、図１の無線端末１４１、１４２、１４３、１４４、１４５、１４６のブロック図である。ここでは無線端末を代表して無線端末１４１について説明する。図３も図２の無線基地局のブロック図にある機能の名称と同一な名称は同様な機能を有している。
制御・管理機能３０１は、認証・セキュリティ情報配信、ＶＬＡＮ、ＱｏＳ設定に関する動作をそれぞれ行うセキュリティ制御・管理機能３０２、ＶＬＡＮ制御・管理機能３０３、ＱｏＳ制御・管理機能３０４を含んでいる。
【００４３】
ルーティング機能３１１は、ＩＰの機能を実現し、無線ＭＡＣ／ＤＬレイヤ３３１と無線物理レイヤ３４１がイーサネットへのアクセスの機能を提供することで、パケットを送受信する。ＶＰＮ機能３１２は、物理的には異なるネットワークに属する無線基地局１１２が、論理的にはネットワーク１０２と同じネットワークに属するためのＶＰＮトンネルに関する機能である。
【００４４】
無線端末のＶＬＡＮ制御・管理機能３０３は、無線基地局からのセキュリティ情報を受信すると、無線ＭＡＣ／ＤＬレイヤ３３１のセキュリティ機能３３３に対しこのセキュリティ情報を設定する。
【００４５】
無線物理レイヤ３４１は、無線ＭＡＣ／ＤＬレイヤ３３１とにより、無線ＬＡＮのリンク層の機能を利用して、無線端末と無線基地局の間の通信を行うために使用される。
【００４６】
図４は、図１の認証・管理サーバ１２１、１２２のブロック図である。ここでは認証・管理サーバを代表して認証・管理サーバ１２１について説明する。図４も図２の無線基地局のブロック図にある機能の名称と同一な名称は同様な機能を有している。
制御・管理機能４０１は、無線端末の制御・管理機能３０１と、無線基地局の制御・管理機能２０１又は図１０を参照して後述されるＭＡＣブリッジの制御・管理機能とにより、認証・セキュリティ情報配信、ＶＬＡＮ、ＱｏＳ設定を制御する。
【００４７】
セキュリティ制御・管理機能４０２は、主に無線端末１４１のセキュリティ制御・管理機能３０２、無線基地局１１１のセキュリティ制御・管理機能２０２との間で認証・セキュリティ情報配信、仮想ＬＡＮ設定、ＱｏＳ設定のためのメッセージを交換する。
【００４８】
ＶＬＡＮ制御・管理機能４０３は、セキュリティ情報に関しては認証・管理サーバのセキュリティ制御・管理機能４０２から、ＱｏＳに関する情報に関しては、認証・管理サーバのＱｏＳ制御・管理機能４０４から得る。
また、ＶＬＡＮ制御・管理機能４０３は、ＶＰＮの接続先を無線基地局のＶＬＡＮ制御・管理機能２０３に通知する。
さらに、ＱｏＳ制御・管理機能４０４がその無線端末のＱｏＳに関する情報を配信する。
【００４９】
ルーティング機能４１１はＩＰのルーティングを行う。また、有線ＭＡＣ／ＤＬレイヤ４３２と有線物理レイヤ４４２がイーサネットへのアクセスを実現する。
【００５０】
図５は、図１の無線端末、無線基地局、認証・管理サーバの間のメッセージ交換を示す図である。ここでは例として無線端末１４１、無線基地局１１１、認証・管理サーバ１２１の場合について説明する。他の無線端末１４２又は１４３、無線基地局１１１、認証・管理サーバ１２１の場合も、無線端末１４４、１４５又は１４６、無線基地局１１２、認証・管理サーバ１２１の場合も以下の説明が適用される。
第１段階では、無線端末１４１と無線基地局１１１との間に無線リンクを確立する。第２段階では、認証・管理サーバ１２１を介して、無線端末１４１と無線基地局１１１の間での認証、ユーザデータ交換の段階の秘匿・認証に用いるセキュリティ情報の配信、仮想ＬＡＮの設定、ＱｏＳの設定などを行う。なお、第２段階で挙げた内容の全てが常に実行される必要は無く、適切な部分のみが実行されれば良い。第３段階でユーザデータの交換が行われる。各段階では複数のメッセージ交換がなされても良い。また、この段階の別け方は典型的であるが、必ずしもこのような段階に分かれている必要は無く、以上の動作が実行されればよい。
【００５１】
第１段階は、ＩＥＥＥ８０２．１１の典型的な場合には、無線端末１４１が行う無線基地局１１１のプローブ要求とそれに対する無線基地局１１１のプローブ応答による１つ以上の無線基地局１１１の発見と、無線端末１４１と適切に選択された無線基地局１１１との間の認証と、アソシエーション確立とによって構成される。
【００５２】
なお、無線端末１４１はプローブせずに無線基地局１１１が定期的に送信するビーコンの受信によりアソシエーションする相手の無線基地局１１１を選択しても良い。さらに、ＩＥＥＥ８０２．１１をＩＥＥＥ８０２．１Ｘの認証で拡張したような場合には、上記の認証（ＩＥＥＥ８０２．１１のＷＥＰベースの認証）を行わず第２段階でＩＥＥＥ８０２．１Ｘの手順により認証を行う。この場合、第１段階が終了しても、無線基地局１１１は、認証に必要なフレームのみの交換を許容し、一般のユーザデータの交換は認証されるまで禁止する。以下では、ＩＥＥＥ８０２．１Ｘないしそれに類似した認証を行う場合を想定する。
【００５３】
仮想ＬＡＮをサポートするため、第１段階を拡張する。拡張の目的は、無線端末が、仮想ＬＡＮに対応する無線端末を適切な仮想ＬＡＮに収容できる無線基地局を選択することにある。選択の必要性を以下に例示する。
【００５４】
（１）仮想ＬＡＮに対応していないレガシーな無線基地局がネットワークに混在する状況があり得る。例えば図６では、無線基地局１１３が仮想ＬＡＮに対応していない。仮想ＬＡＮに対応する無線端末１４１は、仮想ＬＡＮ拡張に対応している無線基地局１１１又は１１２と通信するように適切な選択を可能にしなければならない。
【００５５】
（２）ある無線基地局が全ての仮想ＬＡＮに接続されている、ないし接続可能とは限らないという状況もあり得る。例えば、図６の無線基地局１１１は仮想ＬＡＮ１、２に接続しているが動的に仮想ＬＡＮを構成する機能を持たない。一方図６の無線基地局１１２は仮想ＬＡＮ３、４に接続しておりかつ動的に仮想ＬＡＮを構成する機能を持っている。この場合、例えば仮想ＬＡＮ４ないし仮想ＬＡＮ５に属する無線端末は、無線基地局１１２と接続されるべきである。
【００５６】
なお、ここでの動的という表現は、なんらかの手段で無線端末の収容状態の変化に応じて仮想ＬＡＮの設定変更が可能であるという意味で、必ずしもＩＥＥＥ８０２．１Ｑにおけるｄｙｎａｍｉｃ／ｓｔａｔｉｃの分類と一致する訳ではない。
【００５７】
具体的な拡張の方法はこのほかにもある。例えば、ＩＥＥＥ８０２．１１の場合、無線基地局が送信するプローブ応答フレームないしビーコンフレームに、仮想ＬＡＮに関する情報を埋め込むことが考えられる。この一つの方法としてＳＳＩＤ（Ｓｅｒｖｉｃｅ  Ｓｅｔ  Ｉｄｅｎｔｉｆｉｅｒ）に仮想ＬＡＮ情報をエンコードする方法がある。
【００５８】
具体的なエンコードの方法として、例えば、無線基地局が仮想ＬＡＮをサポートしているか否かという情報を適当なビット列で表現し、接続している仮想ＬＡＮの番号をビットマップで表現し、さらに動的に仮想ＬＡＮを構成することができるか否かの表現にビットを割り当てる。ＳＳＩＤはネットワークの管理者又は運用者が設定できるので、この方法はＩＥＥＥ８０２．１１の仕様を変えずに、同一の管理・運用ドメイン内のローカルな規約として実現できる。ただし、ＳＳＩＤの最大長は３２ｏｃｔｅｔｓなので、ドメインで構成されている仮想ＬＡＮの数によってはビットマップ表現が困難である。
【００５９】
別の方法として、ＩＥＥＥ８０２．１１の仕様自体を仮想ＬＡＮに関する情報を含むように拡張することも考えられる。例えばケイパビリティ・インフォメーション・フィールド（ｃａｐａｂｉｌｉｔｙ  ｉｎｆｏｒｍａｔｉｏｎ  ｆｉｅｌｄ）に仮想ＬＡＮ拡張の有無を示すビットを割当て、接続している仮想ＬＡＮの番号のビットマップや動的構成などの情報を示すインフォメーション・エレメント（Ｉｎｆｏｒｍａｔｉｏｎ  ｅｌｅｍｅｎｔ）を追加しても良い。さらにプローブ応答（Ｐｒｏｂｅ  Ｒｅｓｐｏｎｓｅ）やビーコン（Ｂｅａｃｏｎ）以外に仮想ＬＡＮに関するフレームを新規に規定しても良い。
【００６０】
このように選択した無線基地局、例えば無線基地局１１１に対し、無線端末１４１は無線リンクの設定を要求する。ＩＥＥＥ８０２．１１の場合には、無線端末１４１が、無線基地局１１１に対し、アソシエーション要求フレーム（Ａｓｓｏｃｉａｔｉｏｎ  Ｒｅｑｕｅｓｔ  Ｆｒａｍｅ）ないし、リアソシエーション要求フレーム（Ｒｅａｓｓｏｃｉａｔｉｏｎ  Ｒｅｑｕｅｓｔ  Ｆｒａｍｅ）を送信する。後者は別の無線基地局から無線基地局１１１にハンドオフする場合に対応し、前の無線基地局での認証の結果を用いて認証の手順などを最適化する余地があるが、ここではアソシエーション要求（Ａｓｓｏｃｉａｔｉｏｎ  Ｒｅｑｕｅｓｔ）の場合を想定する。既に述べたように、ここではＩＥＥＥ８０２．１Ｘないしそれに類似する認証を第２段階で行うことを前提としているので、ＩＥＥＥ８０２．１１のアソシエーション設定に先立つ認証はあっても良いが、本質的には不要である。無線基地局１１１からのアソシエーション応答（Ａｓｓｏｃｉａｔｉｏｎ  Ｒｅｓｐｏｎｓｅ）がアソシエーション設定の成功を示していれば、無線端末１４１と無線基地局１１１の間で、無線リンクが確立した状態になり、第１段階が終了する。
【００６１】
第２段階では、認証・管理サーバ１２１を介して、無線端末１４１と無線基地局１１１の間での認証、ユーザデータ交換の段階の秘匿・認証に用いるセキュリティ情報の配信、仮想ＬＡＮの設定、ＱｏＳの設定などを行う。なお、第２段階でこれらの機能が必ずしも全て必要という訳ではない。
【００６２】
例えばＩＥＥＥ８０２．１１の場合、ＩＥＥＥ８０２．１Ｘの無線ＬＡＮ対応の拡張により認証・管理サーバ１２１を介して、無線端末１４１と無線基地局１１１の間での認証、ユーザデータ交換の段階の秘匿・認証に用いるセキュリティ情報の配信を行う場合が多い。この手順を拡張することにより、仮想ＬＡＮの設定、ＱｏＳの設定を行うことができる。また、認証とセキュリティ情報の配信には、ＩＥＥＥ８０２．１Ｘ以外のプロトコルを使うことも可能であり、その場合も類似の方法で仮想ＬＡＮの設定、ＱｏＳの設定を行うことができる。
【００６３】
第３段階では、無線端末１４１はネットワーク内の端末１５１とデータ送受信を行うことができる。ユーザデータの交換の際には、無線基地局１１１から無線端末１４１へデータの送信をする時は無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４を用いて端末側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末１４１が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して送信する。
【００６４】
また、無線基地局１１１は、セキュリティ機能２３３を用いてフレームを送信する。ユニキャストフレームの場合は無線端末ごとに設定されたセキュリティ情報を用いて、マルチキャスト又はブロードキャストフレームの場合は仮想ＬＡＮごとに設定されたセキュリティ情報を用いて送信する。その無線端末にＱｏＳの設定がなされている場合はＱｏＳ機能２３５を用いて無線端末に決められた帯域を確保したり、決められた帯域に制限したりする形でフレームを送信する。無線端末からのフレームを受信した際には、その無線端末のセキュリティ情報を用いて複号し、その無線端末が属する仮想ＬＡＮのタグを付加して有線側に送信する。
以上の手順を踏まえることで、仮想ＬＡＮの間で独立性を保持した状態で複数の仮想ＬＡＮを収容したシステムを構成することができる。
【００６５】
図６は、図５の第１段階での図１の無線端末１４１が無線基地局１１１、１１２、又は１１３を選択する様子を示す図である。図６は無線端末１４１が適切な仮想ＬＡＮに対応している無線基地局を選択する状況を例示している。無線端末１４１から無線が到達可能な無線基地局１１１、１１２、１１３の３つあり、いずれか適当な無線基地局を選択する余地がある状況である。
図６で、無線端末１４１は、無線基地局１１１が定期的に送信するビーコンフレームを受信して、無線基地局１１１が仮想ＬＡＮ１、２と接続しておりかつ仮想ＬＡＮを動的に追加することはできないことを検出する。なお、このビーコンフレームは、無線基地局１１１の無線ＭＡＣ／ＤＬレイヤ２３１によって生成され、無線物理レイヤ２４１により無線信号として送信される。
【００６６】
この際にビーコンフレームに埋め込まれる仮想ＬＡＮに関する情報は、無線基地局１１１のＶＬＡＮ制御・管理機能２０３を使って、予め適当に設定されている。設定される内容は、接続する仮想ＬＡＮと、仮想ＬＡＮの動的な追加を行うか否かなどである。設定された内容は、ＶＬＡＮ制御・管理機能２０３が、無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４を適当に制御することにより、ビーコンフレームに反映される。
【００６７】
ＶＬＡＮ制御・管理機能２０３は、管理者がローカルにこの仮想ＬＡＮに関する情報を設定するユーザインタフェース機能を提供する。管理者によるこの設定は、例えば認証・管理サーバ１２１からリモートに行われても良い。この際には、認証・管理サーバ１２１のＶＬＡＮ制御・管理機能４０３が管理者に対するユーザインタフェース機能を持ち、無線基地局１１１のＶＬＡＮ制御・管理機能２０３と相互に通信して適当な設定を行う。
【００６８】
この通信は、例えばよく知られたＩＰやイーサネットの機能により行われる。つまり、必要なパケットはネットワーク１０１のＩＰの機能により、無線基地局１１１と認証・管理サーバ１２１の間で、適切にルーティングされる。無線基地局１１１では、ルーティング機能２１１がＩＰの機能を実現し、有線ＭＡＣ／ＤＬレイヤ２３２と有線物理レイヤ２４２がイーサネットへのアクセスの機能を提供することで、このパケットを送受信する。
【００６９】
同様に、認証・管理サーバ１２１のルーティング機能４１１がＩＰのルーティングを行い、有線ＭＡＣ／ＤＬレイヤ４３２と有線物理レイヤ４４２がイーサネットへのアクセスを実現することで、これらのパケットを送受信する。
【００７０】
別の例として、仮想ＬＡＮに関するフレームを定義した場合、無線基地局１１１が定期的に送信する仮想ＬＡＮに関するフレームを受信することにより、無線端末１４１は無線基地局１１１が仮想ＬＡＮ１、２と接続しておりかつ仮想ＬＡＮを動的に追加することはできないことを検出することもできる。
【００７１】
また別の方法として、無線端末１４１が送信した問い合わせ信号（例えばＩＥＥＥ８０２．１１のプローブ要求（Ｐｒｏｂｅ  Ｒｅｑｕｅｓｔ））に対する無線基地局１１２のプローブ応答（Ｐｒｏｂｅ  Ｒｅｓｐｏｎｓｅ）により方法がある。この方法によると図８の例では、無線端末１４１が、無線基地局１１２が仮想ＬＡＮ３、４と接続しておりかつ仮想ＬＡＮを動的に追加可能であることを、認識する場合を示している。
【００７２】
プローブ要求フレームは、無線端末１４１の無線ＭＡＣ／ＤＬレイヤ３３１によって生成され、無線物理レイヤ３４１により無線信号として送信される。プローブ応答フレームは、無線基地局１１１の無線ＭＡＣ／ＤＬレイヤ２３１によって生成され、無線物理レイヤ２４１により無線信号として送信される。この際にプローブ応答フレームに埋め込まれる仮想ＬＡＮに関する情報は、無線基地局１１２のＶＬＡＮ制御・管理機能２０３を使って、予め適当に設定されている。無線基地局１１２への仮想ＬＡＮの設定は無線基地局１１１への設定方法に準ずる。
【００７３】
また、仮想ＬＡＮに関するフレームを定義した場合、その問い合わせフレームと応答フレームのやり取りにより、無線基地局１１２が仮想ＬＡＮ３、４と接続しており、かつ仮想ＬＡＮを動的に追加可能であることを、無線端末１４１が認識することもできる。
【００７４】
図６の無線基地局１１３は仮想ＬＡＮ拡張に対応していない。無線端末１４１は問い合わせに対して適当な応答が返ってこないことで、無線基地局１１３が仮想ＬＡＮ拡張に対応していないことを認識する。一例として、無線端末１４１が問い合わせとして送信したプローブ要求に対するプローブ応答に仮想ＬＡＮ拡張を示す情報が含まれていない場合がある。別の例として、仮想ＬＡＮに関するフレームを定義した場合、その問い合わせフレームに応答が返ってこないことで、無線基地局１１３が仮想ＬＡＮ拡張に対応していないことを無線端末１４１が認識する場合もあり得る。
【００７５】
このようにして無線の到達範囲内にある無線基地局１１１、１１２、１１３それぞれの仮想ＬＡＮサポート状態を認識した無線端末１４１は、自分が属している仮想ＬＡＮを収容可能な無線基地局を選択する。無線端末１４１が属する仮想ＬＡＮに関する情報は、無線端末１４１のＶＬＡＮ制御・管理機能３０３により予め設定されているものとする。設定される内容は、無線端末１４１ないしはそのユーザが属する仮想ＬＡＮなどである。ＶＬＡＮ制御・管理機能３０３は、管理者ないしユーザが、ローカルにこの情報を設定するユーザインタフェース機能を提供する。
【００７６】
管理者ないしユーザによるこの設定は、例えば認証・管理サーバ１２１、１２２からリモートに行われても良い。この際には、認証・管理サーバ１２１、１２２のＶＬＡＮ制御・管理機能４０３が管理者ないしユーザに対するユーザインタフェース機能を持ち、無線端末１４１のＶＬＡＮ制御・管理機能３０３と相互に通信して適当な設定を行う。この通信は、例えばよく知られたＩＰやイーサネットの機能により行われる。つまり、必要なパケットはネットワーク１０１のＩＰの機能により、無線端末１４１と認証・管理サーバ１２１、１２２の間で、適切にルーティングされる。
【００７７】
無線基地局１１１では、ルーティング機能２１１がＩＰの機能を実現し、有線ＭＡＣ／ＤＬレイヤ２３２と有線物理レイヤ２４２がイーサネットへのアクセスの機能を提供することで、このパケットを送受信する。同様に、無線端末１４１では、認証・管理サーバ１２１、１２２のルーティング機能４１１がＩＰのルーティングを行い、有線ＭＡＣ／ＤＬレイヤ４３２と有線物理レイヤ４４２がイーサネットへのアクセスを実現することで、これらのパケットを送受信する。
【００７８】
例えば、無線端末１４１が仮想ＬＡＮ１に属している場合には、無線基地局１１１ないし無線基地局１１３を選択する。無線端末１４１が仮想ＬＡＮ２に属している場合には、無線基地局１１１を選択する。無線端末１４１が仮想ＬＡＮ４に属している場合には、無線基地局１１２を選択する。無線端末１４１が仮想ＬＡＮ５に属している場合には、仮想ＬＡＮの動的な追加が可能な無線基地局１１２を選択する。無線端末１４１が仮想ＬＡＮに属していない場合には、無線基地局１１１、１１２、１１３のいずれを選んでも良い。
【００７９】
図７は、図６の無線端末１４１が無線基地局からのビーコンフレームにより無線基地局１１１、１１２又は１１３を選択するためのシーケンス図である。図７は、ＩＥＥＥ８０２．１１のビーコンフレームを用いて無線基地局の仮想ＬＡＮ情報を無線端末１４１が取得する際のメッセージの一例を示す。
無線基地局１１１、１１２、１１３は定期的にビーコンフレームを送信しており（Ｓ２１、Ｓ２２、Ｓ２３）、無線端末１４１は接続すべき無線基地局を探す目的でビーコンフレームを受信する。このフレーム内の仮想ＬＡＮ情報より、無線端末１４１は、無線基地局１１１が仮想ＬＡＮ１、２を収容可能でかつ動的に追加不可能であると検出する。同様に無線端末１４１は、無線基地局１１２が仮想ＬＡＮ３、４を収容可能でかつ動的に追加可能であると検出し、無線基地局１１３はビーコンフレーム内に仮想ＬＡＮ情報を含まないレガシーな無線基地局なので仮想ＬＡＮの収容はできないと検出する。
【００８０】
この結果、無線端末１４１が仮想ＬＡＮ１に属する端末であるとすると、接続すべき無線基地局が無線基地局１１１、１１２であると判断し、図７においてはそのうちの無線基地局１１１と無線リンクを確立する。
【００８１】
図８は、図６の無線端末１４１が無線基地局からのプローブ応答により無線基地局１１１、１１２又は１１３を選択するためのシーケンス図である。図８は、ＩＥＥＥ８０２．１１のプローブ要求／Ｒｅｓｐｏｎｓｅを用いて無線基地局の仮想ＬＡＮ  情報を無線端末が取得する際のメッセージの一例を示す。
無線端末１４１は接続すべき無線基地局を探す目的でプローブ要求フレームをブロードキャスト宛に送信する。このプローブ要求フレームを受信した無線基地局１１１、１１２、１１３は無線端末１４１に対してプローブ応答フレームを送信する。このプローブ応答フレーム内の仮想ＬＡＮ情報より、無線基地局１１１は仮想ＬＡＮ１、２を収容可能でかつ動的に追加不可能であると検出する。同様に無線端末１４１は、無線基地局１１２が仮想ＬＡＮ３、４を収容可能でかつ動的に追加可能であると検出し、無線基地局１１３はビーコンフレーム  内に仮想ＬＡＮ情報を含まないレガシーな無線基地局なので仮想ＬＡＮの収容はできないと検出する。
【００８２】
この結果、無線端末１４１が仮想ＬＡＮ１に属する端末であるとすると、接続すべき無線基地局が無線基地局１１１、１１２であると判断し、図８においてはそのうちの無線基地局１１１と無線リンクを確立する。
【００８３】
図９は、図５の第２段階での図１の無線端末、無線基地局、認証・管理サーバの間のメッセージ交換のシーケンス図である。図５と同様に、例として無線端末１４１、無線基地局１１１、認証・管理サーバ１２１の場合について説明する。図５と同様に他の組合せでも以下の説明が適用される。
図９に、ＩＥＥＥ８０２．１Ｘをさらに仮想ＬＡＮ、ＱｏＳ設定が出来るように拡張した認証・セキュリティ情報配信、仮想ＬＡＮ設定、ＱｏＳ設定のためのメッセージ交換の一例を示す。最初に、ＩＥＥＥ８０２．１Ｘの従来からある無線ＬＡＮ対応の拡張の場合を説明し、仮想ＬＡＮ、ＱｏＳ設定が出来るように拡張した部分はその後で説明する。
【００８４】
以下のメッセージ交換は、主に無線端末１４１のセキュリティ制御・管理機能３０２、無線基地局１１１のセキュリティ制御・管理機能２０２、認証・管理サーバ１２１のセキュリティ制御・管理機能４０２の間で行われる。無線端末１４１と無線基地局１１１の間の通信は、ＩＰ層は用いず、無線基地局１１１の無線ＭＡＣ／ＤＬレイヤ２３１と無線物理レイヤ２４１、無線端末１４１の無線ＭＡＣ／ＤＬレイヤ３３１と無線物理レイヤ３４１により、無線ＬＡＮのリンク層の機能を利用して行われる。
【００８５】
ここで、以下の一連の認証・セキュリティ情報配信などに関する予め定められた特定のメッセージ以外の、ユーザデータなどに関するメッセージは、認証が成功するまでの間、無線基地局１１１のセキュリティ機能２３３及び無線端末１４１のセキュリティ機能３３３によってブロックされる。ＩＥＥＥ８０２．１Ｘでは、無線端末１４１と無線基地局１１１との間のメッセージは、ＥＡＰＯＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  ＬＡＮ）というプロトコルに従う。ＥＡＰＯＬは、元来はｐｐｐの認証方法を拡張する目的で開発されたＥＡＰを、ＩＥＥＥ８０２系のＬＡＮ上でも利用できるようにするために定義されたプロトコルである。無線基地局と認証・管理サーバ間のプロトコルは、ＩＰの上で動作するＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｃｃｅｓｓ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）プロトコルを使う場合が多い。ＲＡＤＩＵＳもＥＡＰパケットをＲＡＤＩＵＳ属性として配送できるように拡張されている。無線基地局と認証・管理サーバ間のＩＰの通信については、ＩＥＴＦ発行のＲＦＣ２８６９“ＲＡＤＩＵＳ  Ｅｘｔｅｎｓｉｏｎｓ”で既に説明されている。
【００８６】
最初に無線端末１４１は無線基地局１１１に対して、ＥＡＰＯＬ−Ｓｔａｒｔメッセージを送信する（Ｓ１）ことで、一連のメッセージ交換を起動する。無線基地局１１１は、ＥＡＰＯＬ−Ｓｔａｒｔメッセージを受信すると、ＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙメッセージを送信し（Ｓ２）、無線端末１４１ないしユーザの識別子を要求する。なお、ＥＡＰＯＬ−Ｓｔａｒｔメッセージはオプションであり、このＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙから一連のメッセージ交換を開始してもよい。すなわち、認証メッセージ交換は無線端末１４１、無線基地局１１１のいずれからも開始することができることになる。
【００８７】
無線端末１４１は、ＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ受信すると、無線基地局１１１に向けてＥＡＰ−Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙメッセージにより無線端末ないしユーザの識別子を送信する（Ｓ３）。無線基地局１１１は、ＥＡＰ−Ｒｅｓｐｏｎｓｅ／ＩｄｅｎｔｉｔｙメッセージをＲＡＤＩＵＳのＲａｄｉｕｓ−Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージに載せ替えて、認証・管理サーバに送信する（Ｓ４）。これに対し、認証・管理サーバ１２１は、無線端末１４１にＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）による認証を行うことを要求するＥＡＰ−Ｒｅｑｕｅｓｔ／ＥＡＰ−ＴＬＳメッセージを載せたＲＡＤＩＵＳのＲａｄｉｕｓ−Ａｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅメッセージを無線基地局１１１に送信し（Ｓ５）、さらにＥＡＰ−Ｒｅｑｕｅｓｔ／ＥＡＰ−ＴＬＳメッセージを無線基地局１１１が無線端末１４１に中継する（Ｓ６）。なお、ＴＬＳによる認証は一例であり、ＥＡＰでは様々な認証方式を利用することができる。
【００８８】
次に、ＥＡＰ上のＴＬＳによる認証がなされるが、このための各メッセージは省略する。これは、認証・管理サーバ１２１と無線端末１４１との間の相互認証である。無線基地局１１１は、メッセージ形式を変換して単に中継するだけで、認証に積極的に関与することは出来ない。
【００８９】
認証が成功すると、認証・管理サーバ１２１と無線端末１４１の間でセキュリティ情報が共有される。無線基地局１１１を含め認証・管理サーバ１２１と無線端末１４１以外はこのセキュリティ情報を認識することが出来ず、このセキュリティ情報はこのセッション限りの情報となる。
【００９０】
しかし、実際のユーザデータの暗号化、複号化、メッセージ認証処理を行うのは無線基地局１１１であるために、無線基地局１１１は無線端末１４１と認証・管理サーバ１２１でのみ共有されたこのセキュリティ情報が必要である。このため、認証・管理サーバ１２１がＥＡＰ−Ｓｕｃｃｅｓｓを知らせるＲＡＤＩＵＳのＡｃｃｅｓｓ−Ａｃｃｅｐｔメッセージにこのセキュリティ情報を重畳して無線基地局１１１に通知する（Ｓ７）。セキュリティ情報は、無線基地局１１１のみが複号化できるように、無線基地局１１１と認証・管理サーバ１２１との間で共有された秘密情報を用い認証・管理サーバ１２１で暗号化されているので、無線基地局１１１以外にこのセキュリティ情報が漏洩することはない。さらに無線基地局１１１から無線端末１４１に、ＥＡＰ−Ｓｕｃｃｅｓｓが中継される（Ｓ８）。
【００９１】
次に、ＥＡＰＯＬ−Ｋｅｙにより無線基地局１１１から無線端末１４１に、ユニキャスト用のセキュリティ情報とマルチキャスト又はブロードキャスト用のセキュリティ情報が通知される（Ｓ９、Ｓ１０）。これらのＥＡＰＯＬ−Ｋｅｙメッセージに対しては、ＴＬＳでの認証時に生成されたセキュリティ情報から生成した鍵によって、暗号化とメッセージ認証の処理がなされる。ユニキャスト用のセキュリティ情報とマルチキャスト又はブロードキャスト用のセキュリティ情報には、鍵、鍵の長さや鍵の識別子、初期化ベクトルなどの情報が含まれている。ここまでの内容は、従来のＩＥＥＥ８０２．１１にＩＥＥＥ８０２．１Ｘの無線ＬＡＮ拡張を適用した場合と同じである。
【００９２】
本発明における、仮想ＬＡＮをサポートする無線基地局は、無線端末が属している仮想ＬＡＮごとに、別々のマルチキャスト又はブロードキャスト用のセキュリティ情報を配信するようにする。図１の構成の場合、仮想ＬＡＮ１３１に収容されている無線端末１４１、１４２の間ではマルチキャスト又はブロードキャストメッセージは共有されるが、仮想ＬＡＮ１３２に収容される無線端末１４３はマルチキャスト又はブロードキャスト用のセキュリティ情報が無線端末１４１、１４２とは異なるので、仮想ＬＡＮ１３１のマルチキャスト又はブロードキャストフレームを無線端末１４３が受信できたとしても正しく複号化することができず、結果として各仮想ＬＡＮセグメントをセキュアに分離することができる。
【００９３】
ユニキャストのセキュリティ情報については、もともと無線端末ごとに異なるが、仮想ＬＡＮごとにユニキャストのセキュリティプロトコルの強さを変えるような制御をすることも有益な場合がある。例えば、ゲスト用の仮想ＬＡＮには広く利用されているが弱いセキュリティプロトコル（例えばＷＥＰ）を使うことを許すが、社内ユーザ用の仮想ＬＡＮには強いセキュリティプロトコルの利用以外は許容しないという運用ポリシーも有効である。
【００９４】
このような仮想ＬＡＮに対応した制御を行うために、認証・管理サーバのＶＬＡＮ制御・管理機能４０３は、上述したＲＡＤＩＵＳのＡｃｃｅｓｓ−Ａｃｃｅｐｔメッセージに、さらに仮想ＬＡＮ情報を重畳する。この仮想ＬＡＮ情報は、
（１）認証された無線端末が属する仮想ＬＡＮの識別子
（２）動的に仮想ＬＡＮを設定する場合に必要な情報、例えば、ＶＰＮのようなトンネリング技術を利用して仮想ＬＡＮを構成する際の、トンネルを終端するための接続先情報
（３）仮想ＬＡＮのセキュリティ情報、例えば、どのようなセキュリティプロトコルの使用を許容するか、鍵の大きさや鍵の更新条件などに関するポリシー情報、ないし、使用するセキュリティプロトコル種別そのものの指定情報
（４）仮想ＬＡＮのＱｏＳに関する情報。簡単な場合には、単に仮想ＬＡＮ内の最大帯域の制限や最低保証帯域を規定するなどの情報などを含む。ＶＬＡＮ制御・管理機能４０３は、セキュリティ情報に関しては認証・管理サーバのセキュリティ制御・管理機能４０２から、ＱｏＳに関する情報に関しては、認証・管理サーバのＱｏＳ制御・管理機能４０４から得る。この仮想ＬＡＮ情報を受信した無線基地局のＶＬＡＮ制御・管理機能２０３は、指定された仮想ＬＡＮに無線端末を収容するように制御する。無線基地局が仮想ＬＡＮに無線端末を収容している場合は、［１］既に無線基地局が指定された仮想ＬＡＮを組み込んでいる場合と［２］無線基地局が、無線端末が所属する仮想ＬＡＮを動的に設定する場合がある。
【００９５】
［１］既に無線基地局が指定された仮想ＬＡＮを組み込んでいる場合の動作を示す。この場合、仮想ＬＡＮの仮想ＬＡＮ識別子を含むＶＬＡＮタグを持つフレームが、無線基地局のＶＬＡＮ機能２２２によって無線側と有線側の間でブリッジされている状態が既に確立されている。さらに、無線ＭＡＣ／ＤＬレイヤ２３１のＶＬＡＮ機能２３４とセキュリティ機能２３３が協調動作することで、仮想ＬＡＮごとに設定されているセキュリティ情報を利用して、無線側で送受信するフレームの暗号・認証処理を行っている状態になっている。
【００９６】
なお、各仮想ＬＡＮのマルチキャスト又はブロードキャスト用に、それぞれ異なるセキュリティ情報、つまり異なる暗号や認証の方式や、若しくは異なる暗号・認証の鍵を用いることにより、各仮想ＬＡＮ間の独立性が保障されている。仮想ＬＡＮ識別子のみでは悪意の第３者に対する仮想ＬＡＮ間の独立が失われる。
【００９７】
例えば誰でも収容することのできる仮想ＬＡＮ（例えばゲスト用のサブネットワークなど）に悪意の第３者が収容された場合、マルチキャスト又はブロードキャスト用のセキュリティ情報が従来のように全ての無線端末で同一であると、本来ゲスト用のサブネットワークとは独立させるべき仮想ＬＡＮセグメントのマルチキャスト又はブロードキャストフレームを、悪意の第３者が持つセキュリティ情報で暗号を複号し、傍受することが可能になる。
【００９８】
そこで上記のように、マルチキャスト又はブロードキャスト用のセキュリティ情報は、仮想ＬＡＮごとに異なるものを持つという方法を取ることで、仮想ＬＡＮ間のセキュリティが向上し、異なるセキュリティレベルを持つような複数の仮想ＬＡＮを安全に収容することができる。これは傍受が比較的容易な無線環境では、特に望ましい性質である。
【００９９】
ただし、現在のＩＥＥＥ８０２．１１では、ＫｅｙＩＤが２ｂｉｔしか割り当てられていないためこのような運用は難しく、より多くの鍵を識別することができるように鍵の識別方法を適当に拡張しておく必要がある。仮想ＬＡＮごとに異なるセキュリティレベルを設定するような場合に関しては、例えば相互運用性が高いがセキュリティの低い設定、例えばＩＥＥＥ８０２．１１のＷＥＰを使う、若しくは全く暗号化や認証を行わないといった設定をゲスト用の仮想ＬＡＮに対して行う。一方、内部ユーザ用の仮想ＬＡＮは、セキュリティは高いが余り普及していない方式を設定するような運用を行う。この結果、ゲストへの利便性と内部ユーザのセキュリティを両立させることが可能になる。
【０１００】
このように仮想ＬＡＮが無線基地局に既に組み込まれている状況の下で、無線基地局のＶＬＡＮ制御・管理機能２０３が、セキュリティ制御・管理機能２０２を指示して、この仮想ＬＡＮのマルチキャスト又はブロードキャストに用いる暗号化鍵や認証鍵などのセキュリティ情報を、セキュリティ機能２３３が無線端末に送信するように制御させる。ＩＥＥＥ８０２．１Ｘを用いる場合には、ＥＡＰＯＬ−Ｋｅｙメッセージで仮想ＬＡＮに対応するセキュリティ情報を送信する。このセキュリティ情報は、その無線端末以外にはわからないように、適切に暗号化されている。このセキュリティ情報の受渡しには、ＩＥＥＥ８０２．１Ｘ以外の適当なプロトコルを利用しても良い。
【０１０１】
無線端末のＶＬＡＮ制御・管理機能３０３が、このセキュリティ情報を受信すると、無線ＭＡＣ／ＤＬレイヤ３３１のセキュリティ機能３３３に対しこのセキュリティ情報を設定する。ＶＬＡＮ機能３３４は、データを送受信する際にこのように設定されたセキュリティ機能３３３を利用して、属している仮想ＬＡＮに応じた適切な暗号・認証の処理を行うことができる。なお、ＶＬＡＮ機能３３４は適切な仮想ＬＡＮ識別子を含むＶＬＡＮタグを持つフレームを送受信するように設定される。ＶＬＡＮ機能３３４は受信したフレームが無関係な仮想ＬＡＮ識別子を持っている場合には、そのフレームを廃棄する。また、ＶＬＡＮ機能３３４はフレームを送信する際には、適切な仮想ＬＡＮ識別子を付加する。
【０１０２】
さらに、ＶＬＡＮごとに最大帯域が設定されているような場合には、無線基地局のＱｏＳ制御・管理機能２０４が、無線ＭＡＣ／ＤＬレイヤ２３１のＱｏＳ機能２３５を指示することで、仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御する。可能ならばさらに無線端末のＱｏＳ制御・管理機能３０４と無線ＭＡＣ／ＤＬレイヤ３３１のＱｏＳ機能３３５を利用して、この仮想ＬＡＮのユーザデータに割り当てる帯域が指定された最大帯域を越えないように制御する。
【０１０３】
ＩＥＥＥ８０２．１１の場合、無線基地局における最大帯域の制御はもっぱら無線基地局から無線端末方向へのユーザデータにのみ、無線端末における最大帯域の制御はもっぱら無線端末から無線基地局方向へのユーザデータにのみ有効である。ＩＥＥＥ８０２．１１でＰＣＦ（Ｐｏｉｎｔ  Ｃｏｏｒｄｉｎａｔｉｏｎ  Ｆｕｎｃｔｉｏｎ）を利用できる場合には、これをＱｏＳ制御に利用しても良い。また、有線側の仮想ＬＡＮ帯域も制御する場合には、さらに無線基地局のブリッジ機能２２１のＱｏＳ機能２２３や有線ＭＡＣ／ＤＬレイヤのＱｏＳ機能２３７も協調的に動作させる。
【０１０４】
［２］無線基地局が、無線端末が所属する仮想ＬＡＮを動的に設定する場合、即ち、無線基地局が動的に仮想ＬＡＮを構成することを許容しており、かつ新たに収容する無線端末がこれまで無線基地局に設定されていなかった仮想ＬＡＮに所属している場合の動作を示す。
【０１０５】
仮想ＬＡＮを動的に構成する一つの方法は、ＶＰＮで仮想ＬＡＮを構成する物理セグメントを相互接続することである。例えば、新たな無線端末を収容した無線基地局から、その無線端末が属する仮想ＬＡＮのホーム的性格を持つ物理セグメントまでＶＰＮを設定するといった方法である。このＶＰＮの接続先は、認証・管理サーバのＶＬＡＮ制御・管理機能４０３から、無線基地局のＶＬＡＮ制御・管理機能２０３に通知される。ＶＬＡＮ制御・管理機能２０３は、必要なＶＰＮを設定するように、ＶＰＮ機能２１２を制御する。
【０１０６】
例えば、Ｌ２ＴＰやＰＰＴＰなどを用いてトンネルを生成するといった処理を行う。また、ＩＰＳｅｃで指定された接続先との間にトンネルを生成してもよい。ＩＰＳｅｃのＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）は、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）によって作成しても良いし、ＶＬＡＮ制御・管理機能４０３から与えても良い。図１においては、無線基地局１１２は、ネットワーク１０２のサブネットワークである仮想ＬＡＮ１３３、１３４を収容するために、ＶＰＮサーバ１７１との間に、ＶＬＡＮ制御・管理機能２０３を用いてＶＰＮトンネルを生成している。このような方法は、仮想ＬＡＮの動的な構成を認証・管理サーバ１２１で集中管理することができる。
【０１０７】
（第２の実施形態）
図１０は、本発明の第２の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図である。図１０は、ＭＡＣブリッジを用いたネットワーク構成の一例を示す。
図１０は、無線基地局８１１、８１２、８１３が図２に示したような機能を持たない既存の無線基地局の場合、無線基地局８１１、８１２、８１３とネットワーク８０１の間にＭＡＣブリッジ８８１を置き、図１と同等のシステムを構築する。ＭＡＣブリッジ８８１は、図２の無線基地局１１１、１１２、１１３の無線ＭＡＣ／ＤＬレイヤ２３１が有線ＭＡＣ／ＤＬレイヤに変更されることと無線物理レイヤ２４１が有線物理レイヤに変更されることのみが図２の無線基地局と異なる。有線ＭＡＣ／ＤＬレイヤは、図２の無線基地局１１１、１１２、１１３と同様にセキュリティ機能、ＶＬＡＮ機能、及びＱｏＳ機能を含んでいる。本実施形態では、ＭＡＣブリッジを用いたメッセージの交換概要の一例を参照して第１の実施形態との相違点のみを説明する。
【０１０８】
図１１は、図１０の無線端末、無線基地局、ＭＡＣブリッジ８８１、認証・管理サーバの間のメッセージ交換を示す図である。
第１段階である無線リンク設定については、既存の無線ＬＡＮでのリンク設定と同様であり、無線端末と無線基地局との間で行われる。この設定は、図５の無線リンク設定と同じ設定を行う。
【０１０９】
第２段階である認証・セキュリティ情報配信、ＶＬＡＮ、ＱｏＳ設定に関しては、無線端末の制御・管理機能３０１と、ＭＡＣブリッジ８８１と、認証・管理サーバ１２１との三者間で行われる。認証の方式はＩＥＥＥ８０２．１Ｘの無線拡張方式やそれに類似する他の方式を用いて行われ、無線端末の認証がされると、認証・管理サーバのセキュリティ制御・管理機能４０２からそのセッションにおけるセキュリティ情報が配信される。また、ＶＬＡＮ制御・管理機能４０３がその無線端末が収容されるＶＬＡＮに関する情報を配信する。さらに、ＱｏＳ制御・管理機能４０４がその無線端末のＱｏＳに関する情報を配信する。ここで、必ずしもこれら全ての情報が設定される必要はなく、構築されたシステムによって以上で述べた一部のみが配信されてもよい。
【０１１０】
以上の動作によって、ＭＡＣブリッジ８８１のセキュリティ制御・管理機能は、認証された無線端末のセキュリティ情報を有線ＭＡＣ／ＤＬレイヤのセキュリティ機能に設定し、無線端末との暗号化、メッセージ認証が施された通信を行うことができる。また、ＭＡＣブリッジ８８１のＶＬＡＮ制御・管理機能が収容する無線端末の仮想ＬＡＮ情報をブリッジ機能のＶＬＡＮ機能に設定することにより、その無線端末が属する仮想ＬＡＮのフレームを無線端末側にブリッジすることができる。またＭＡＣブリッジ８８１のＱｏＳ制御・管理機能がブリッジ機能のＱｏＳ機能にその無線端末のＱｏＳ情報を設定することで、その無線端末の帯域の保証や制限を行った通信ができる。
【０１１１】
また、ＭＡＣブリッジ８８１のルーティング機能のＶＰＮ機能を用いて、ＭＡＣブリッジ８８１が収容されているネットワーク以外のネットワークとＬ２ＴＰ、ＰＰＴＰに代表されるＶＰＮトンネルを生成して、異なるネットワークの仮想ＬＡＮを収容することも可能である。例として、ＭＡＣブリッジ８８１は、ルーティング機能のＶＰＮ機能を用いてＶＰＮサーバ８７１とＶＰＮトンネルを生成する。ＭＡＣブリッジ８８１は、物理的にはネットワーク８０１に属しているが、論理的にはネットワーク８０２にも属することができる。ＭＡＣブリッジ８８１は、ネットワーク８０２のサブネットワークである仮想ＬＡＮ８３３、８３４に属する無線端末８４４、８４５、８４６を収容することができる。
【０１１２】
第３段階であるユーザデータ交換に関して、無線端末とＭＡＣブリッジ８８１の間で暗号化、メッセージ認証が施されたデータの送受信が行われる。無線基地局からＭＡＣブリッジ８８１へデータの送信をする時はＭＡＣブリッジ８８１の有線ＭＡＣ／ＤＬレイヤのＶＬＡＮ機能を用いて端末側から送信されたＶＬＡＮタグつきのフレームのうち、その無線端末が属する仮想ＬＡＮに対応したタグのフレームのみを、タグを適切に取り除いたフレームに変換して宛先に送信する。
【０１１３】
また、ＭＡＣブリッジ８８１のセキュリティ機能は、ユニキャストフレームを無線端末ごとに設定されたセキュリティ情報を用いて、マルチキャスト・ブロードキャストフレームを仮想ＬＡＮごとに設定されたセキュリティ情報を用いて送信する。また、その無線端末にＱｏＳの設定がなされている場合はＭＡＣブリッジ８８１のＱｏＳ機能を用いて無線端末に決められた帯域を確保したり、決められた帯域に制限したりする形でフレームを送信する。無線端末からのフレームの受信の際には、その無線端末のセキュリティ情報を用いて複号し、その無線端末が属する仮想ＬＡＮのタグを付加して端末側に送信する。
【０１１４】
以上のようなＭＡＣブリッジ８８１を用いたシステムは、既存の無線基地局を改良することなく第１の実施形態と同等のシステムを構築することができるという利点をもつ。また、セキュリティ制御、ＶＬＡＮ制御、ＱｏＳ制御の機構をＭＡＣブリッジ８８１に一局集中させることができるので、メンテナンス等のコストが削減できる利点がある。
【０１１５】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【０１１６】
【発明の効果】
本発明によれば、無線端末ごとにユニキャストセキュリティ情報を設定することで無線端末ごとのセキュリティを確保できることに加え、ブロードキャスト／マルチキャストセキュリティ情報を仮想ＬＡＮごとに設定することで仮想ＬＡＮごとのセキュリティも確保することができる。
【図面の簡単な説明】
【図１】本発明の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図。
【図２】図１の無線基地局のブロック図。
【図３】図１の無線端末のブロック図。
【図４】図１の認証・管理サーバのブロック図。
【図５】図１の無線端末、無線基地局、認証・管理サーバの間のメッセージ交換を示す図。
【図６】図５の第１段階での図１の無線端末が無線基地局を選択する様子を示す図。
【図７】図６の無線端末が無線基地局からのビーコンフレームにより無線基地局を選択するためのシーケンス図。
【図８】図６の無線端末が無線基地局からのプローブ応答フレームにより無線基地局を選択するためのシーケンス図。
【図９】図５の第２段階での無線端末、無線基地局、認証・管理サーバの間のメッセージ交換のシーケンス図。
【図１０】本発明の第２の実施形態に係る無線基地局、無線通信端末及びシステムのネットワーク構成図。
【図１１】図１０の無線端末、無線基地局、ＭＡＣブリッジ、認証・管理サーバの間のメッセージ交換を示す図。
【符号の説明】
１０１、１０２・・・ネットワーク、１１１、１１２、１１３・・・無線基地局、１２１、１２２・・・認証・管理サーバ、１３１、１３２、１３３、１３４・・・仮想ＬＡＮ、１４１、１４２、１４３、１４４、１４５、１４６・・・無線端末、１５１、１５２・・・端末、１６１、１６２・・・ゲートウェイ、１７１・・・ＶＰＮサーバ、２０１・・・制御・管理機能、２０２・・・セキュリティ制御・管理機能、２０３・・・ＶＬＡＮ制御・管理機能、２０４・・・ＱｏＳ制御・管理機能、２１１・・・ルーティング機能、２１２・・・ＶＰＮ機能、２２１・・・ブリッジ機能、２２２・・・ＶＬＡＮ機能、２２３・・・ＱｏＳ機能、２３１・・・無線ＭＡＣ／ＤＬレイヤ、２３２・・・有線ＭＡＣ／ＤＬレイヤ、２３３・・・セキュリティ機能、２３４・・・ＶＬＡＮ機能、２３５・・・ＱｏＳ機能、２３６・・・ＶＬＡＮ機能、２３７・・・ＱｏＳ機能、２４１・・・無線物理レイヤ、２４２・・・有線物理レイヤ、３０１・・・制御・管理機能、３０２・・・セキュリティ制御・管理機能、３０３・・・ＶＬＡＮ制御・管理機能、３０４・・・ＱｏＳ制御・管理機能、３１１・・・ルーティング機能、３１２・・・ＶＰＮ機能、３３１・・・無線ＭＡＣ／ＤＬレイヤ、３３３・・・セキュリティ機能、３３４・・・ＶＬＡＮ機能、３３５・・・ＱｏＳ機能、３４１・・・無線物理レイヤ、４０１・・・制御・管理機能、４０２・・・セキュリティ制御・管理機能、４０３・・・ＶＬＡＮ制御・管理機能、４０４・・・ＱｏＳ制御・管理機能、４１１・・・ルーティング機能、４１２・・・ＶＰＮ機能、４３２・・・有線ＭＡＣ／ＤＬレイヤ、４３６・・・ＶＬＡＮ機能、４３７・・・ＱｏＳ機能、４４２・・・有線物理レイヤ、８０１、８０２・・・ネットワーク、８１１、８１２、８１３・・・無線基地局、８３１、８３２、８３３、８３４・・・仮想ＬＡＮ、８４１、８４２、８４３、８４４、８４５、８４６・・・無線端末、８７１・・・ＶＰＮサーバ、８８１・・・ＭＡＣブリッジ
【図１】
2004312257.tif 000003
【図２】
2004312257.tif 000004
【図３】
2004312257.tif 000005
【図４】
2004312257.tif 000006
【図５】
2004312257.tif 000007
【図６】
2004312257.tif 000008
【図７】
2004312257.tif 000009
【図８】
2004312257.tif 000010
【図９】
2004312257.tif 000011
【図１０】
2004312257.tif 000012
【図１１】
2004312257.tif 000013