(57)【特許請求の範囲】
【請求項１】
スプリットMACモードで集中型無線ローカルエリアネットワークの認証とプライバシーインフラストラクチャWAPIネットワークアーキテクチャを実現する方法であって、
１）無線アクセスポイントのMAC機能とWAPI機能をそれぞれ無線端末ポイントとアクセスコントローラに分散し、アクセスコントローラにより無線ローカルエリアネットワークのプライバシーインフラストラクチャWPIを実現するスプリットMACモードを構築するステップと、
２）アクセスコントローラによりWPIを実現するスプリットMACモードにおいて、WAPIと集中型無線ローカルエリアネットワークWLANネットワークアーキテクチャとの融合を実現するステップとを含み、
前記ステップ２）は、
２.１）ステーションと、無線端末ポイント及びアクセスコントローラとを関連して接続するステップと、
２.２）アクセスコントローラと無線端末ポイントとの間で無線ローカルエリアネットワークの認証インフラストラクチャWAIのプロトコルの実行開始を通知し、ステーションとアクセスコントローラとの間でWAIプロトコルを実行するステップと、
２.３）ステーションとアクセスコントローラとの間でWAIプロトコルを実行するステップと、
２.４）アクセスコントローラと無線端末ポイントとの間でWAIプロトコルの実行終了を通知するステップと、
２.５）アクセスコントローラとステーションとの間でWPIを利用してセキュリティ通信を行うステップとを実行することを含むことを特徴とするスプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法。
【請求項２】
前記ステップ２.１）は、
２.１.１）ステーションは無線端末ポイントのビーコンフレームを受動的に検出してWAPI情報要素を含む無線端末ポイントのパラメータを取得し、或は、ステーションは無線端末ポイントへ主動的にプローブ要求フレームを送信し、無線端末ポイントはステーションからのプローブ要求フレームを受信した後に、ステーションへプローブ応答フレームを送信し、ステーションは無線端末ポイントからのプローブ応答フレームを受信したら、即ちWAPI情報要素を含む無線端末ポイントのパラメータを取得することになり、当該WAPI情報要素は、無線端末ポイントのサポートする認証及び鍵管理スイートとパスワードスイートを含み、
２.１.２）ステーションはアクセスコントローラへリンク検証要求フレームを送信して、アクセスコントローラとの間のリンク検証を要求し、
２.１.３）アクセスコントローラはステーションからのリンク検証要求フレームに応じて、ステーションへリンク検証応答フレームを送信し、
２.１.４）リンク検証が成功した後に、ステーションはアクセスコントローラへ関連要求フレームを送信してアクセスコントローラとの関連付けを要求し、ステーションは関連要求フレームにWAPI情報要素を含めて、ステーションにより選択された認証及び鍵管理スイートとパスワードスイートを特定し、
２.１.５）アクセスコントローラはステーションからの関連要求フレームを解析し、ステーションへ関連応答フレームを送信する、
ことを含むことを特徴とする請求項１に記載のスプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法。
【請求項３】
前記ステップ２.２）は、
２.２.１）アクセスコントローラは無線端末ポイントへWAI実行開始通知を送信し、無線端末ポイントにステーションのMACアドレス、WLAN ID番号、及び無線端末ポイントに被制御ポートを閉め、対応するステーションからのWAIプロトコルデータのみを転送するように通知するための認証開始フラグ等を含む情報を通知し、
２.２.２）無線端末ポイントはアクセスコントローラへWAI実行開始通知応答メッセージを送信する、
ことを含むことを特徴とする請求項１又は２に記載のスプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法。
【請求項４】
前記ステップ２.３）は、
２.３.１）アクセスコントローラとステーションとの間のWAI認証ステップと、
２.３.２）アクセスコントローラとステーションとの間のWAIユニキャストキーネゴシエーションステップと、
２.３.３）アクセスコントローラとステーションとの間のWAIマルチキャストキー通知ステップと、
を実行することを含むことを特徴とする請求項１ないし３の何れか１項に記載のスプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法。
【請求項５】
前記ステップ２.４）は、
２.４.１）アクセスコントローラは無線端末ポイントへWAI実行終了通知を送信し、無線端末ポイントにステーションのMACアドレス、WLAN ID、及び無線端末ポイントに被制御ポートを開き、対応するステーションからの全てのデータを転送するように通知するための認証終了フラグを含む情報を通知し、
２.４.２）無線端末ポイントはアクセスコントローラへWAI実行終了通知応答メッセージを送信する、
ことを含むことを特徴とする請求項１ないし４の何れか１項に記載のスプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法。
【請求項６】
前記ステップ２.５）は、
２.５.１）アクセスコントローラはステーションへのデータを暗号化して送信し、
２.５.２）アクセスコントローラはステーションからのデータを復号化する、
ことを含むことを特徴とする請求項１ないし５の何れか１項に記載のスプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、2009年2月27日に、中国特許局に提出された出願番号が200910021423.0号、発明名称が「スプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法」である中国特許出願の優先権を主張し、その全ての内容を本願に援用する。
【０００２】
本発明は、スプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法に関する。
【背景技術】
【０００３】
自律アーキテクチャによる無線ローカル・エリア・ネットワーク、即ちWLAN(Wireless Local Area Network)において無線アクセスポイントAP(Access Point)を完全に配置し、終端するWLAN機能は、ネットワーク上の個別の実体として独立に管理する必要がある。従来、無線LANの認証とプライバシーインフラストラクチャ、即ちWAPI(WLAN Authentication and Privacy Infrastructure)に基づいて設計されたWLANは、全て自律アーキテクチャを採用している。しかしながら、WLANの配置規模の拡大につれ、このような自律アーキテクチャによるネットワーク作動モードがその固有の欠陥のため、無線技術の発展の障害になってきた。
【０００４】
まず、自律アーキテクチャによるWLANにおいて、APはインターネットプロトコル、即ちIP(Internet Protocol)のアドレッシングデバイスとして、モニタリング、配置及び制御等を含み、管理を独立に行う必要がある。大規模なネットワークを構成する際に、多量のAPにより、極めて大きい管理コストが生じ、ネットワークに重い負荷がかかる。特に、ネットワーク内におけるAPの配置管理方式が互いに異なっている場合に、このような事態が更に明らかになり、必ず無線技術の発展を妨害することになる。
【０００５】
次に、自律アーキテクチャによるWLANにおいて、全てのAPの配置パラメータの一致性を確保することが難しい。これは、APの配置中に、静的パラメータの他、動的配置の必要があるパラメータがより多いからである。大規模なWLANにおいて、ネットワーク全体のAPの動的配置をタイムリーに更新する作業量は極めて多くなり、実現できない場合もある。
【０００６】
第三に、WLANにおいて、無線伝送媒体は共有リソースとして、ネットワークの性能を高めるために、各APのそれぞれをリアルタイムにモニタリングすると共に、現在の共有媒体の使用状況に基づいてこれらAPの配置を動的に更新する必要がある。一方、無線伝送媒体に関するAPパラメータを手動で配置することは、多くの手間が必要である。
【０００７】
第四に、自律アーキテクチャによるWLANにおいて、ネットワークへのセキュアなアクセス及び不正APの加入の阻止も困難である。一般的に、APは配置位置によって保護されることが難しくなり、APが盗まれるとロードされた鍵等のセキュリティ情報が漏洩することになり、これらセキュリティ情報を利用して、攻撃者は、ネットワークセキュリティへの脅かしになる。
【０００８】
以上のように、自律アーキテクチャによるWLANにおいて、特に大規模な構成の場合に、APに対するモニタリング、配置及び制御により、ネットワークに重い管理負荷がかかることになる。そして、AP配置の一致性の保持も困難である。また、無線伝送媒体の共有及び動的特性は、最大のネットワーク性能及び最小の無線干渉を得るために、ネットワークにおけるAPの協働の一致を要求する。これは、APの配置管理に対してより厳しい要求を提出している。セキュリティは無線ネットワークの設計に考慮される必要がある要素の一つであり、大規模な構成もWLANのセキュリティへの大きなチャレンジに繋がっている。以上からわかるように、自律アーキテクチャによるWLANの作動モードは、大規模なネットワークの構成ニーズに適用できなくなり、WAPIによる集中型WLANネットワークアーキテクチャ、即ちWAPIのシンAP(Thin-AP)アーキテクチャを設計することが期待されている。
【発明の概要】
【課題を解決するための手段】
【０００９】
本発明は、前記自律WLANネットワークアーキテクチャにおける欠陥を克服するためになされたものであり、APのMAC機能とWAPI機能とを分けることにより、ネットワーク全体のAPをまとめて制御し管理することを実現して、大規模なWLANの構成ニーズを満足できる、アクセスコントローラAC(Access Controller)で無線LANのプライバシーインフラストラクチャWPI(WLAN Privacy Infrastructure)を実現するスプリット媒体アクセス制御MAC(Medium Access Control)モードによる集中型WAPIネットワークアーキテクチャ方法を提供することを目的とする。
【００１０】
本発明にかかる技術案は、スプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法であって、その特別なところは、以下のステップを含むことにあり、即ち、１）アクセスコントローラによりWPIを実現するスプリットMACモードを構築し、即ち、無線アクセスポイントのMAC機能とWAPI機能をそれぞれ無線端末ポイントとアクセスコントローラに分散すること、
２）アクセスコントローラによりWPIを実現するスプリットMACモードにおいて、WLANの実体同士の間の情報交換を実現すること：
２.１）ステーションと、無線端末ポイント及びアクセスコントローラとを関連して接続するステップ、
２.２）アクセスコントローラと無線端末ポイントとの間で無線LANの認証インフラストラクチャWAI(WLAN Authentication Infrastructure)のプロトコルの実行開始を通知するステップ、
２.３）ステーションとアクセスコントローラとの間でWAIプロトコルを実行するステップ、
２.４）アクセスコントローラと無線端末ポイントとの間でWAIプロトコルの実行終了を通知するステップ、
２.５）アクセスコントローラとステーションとの間でWPIを利用してセキュリティ通信を行うステップを含む。
【００１１】
前記ステップ２.１）の具体的なステップは、
２.１.１）ステーションは無線端末ポイントのビーコンフレームを受動的に検出してWAPI情報要素を含む無線端末ポイントのパラメータを取得し、或は、ステーションは無線端末ポイントへ主動的にプローブ要求フレームを送信し、無線端末ポイントはステーションからのプローブ要求フレームを受信した後に、ステーションへプローブ応答フレームを送信し、ステーションはプローブ応答フレームを受信したら、即ちWAPI情報要素を含む無線端末ポイントのパラメータを取得することになり、当該WAPI情報要素は、無線端末ポイントのサポートする認証及び鍵管理スイートとパスワードスイートを含み、
２.１.２）ステーションはアクセスコントローラへリンク検証要求フレームを送信して、アクセスコントローラとの間のリンク検証を要求し、
２.１.３）アクセスコントローラはステーションからのリンク検証要求フレームに応じて、ステーションへリンク検証応答フレームを送信し、
２.１.４）リンク検証が成功した後に、ステーションはアクセスコントローラへ関連要求フレームを送信してアクセスコントローラとの関連付けを要求し、ステーションは関連要求フレームにWAPI情報要素を含めて、ステーションにより選択された認証及び鍵管理スイートとパスワードスイートを特定し、
２.１.５）アクセスコントローラはステーションからの関連要求フレームを解析し、ステーションへ関連応答フレームを送信することを含む。
【００１２】
前記ステップ２.２）の具体的なステップは、
２.２.１）アクセスコントローラは無線端末ポイントへWAI実行開始通知を送信し、無線端末ポイントに、ステーションのMACアドレス、WLAN ID番号、及び無線端末ポイントに被制御ポートを閉め、対応するステーションからのWAIプロトコルデータのみを転送するように通知するための認証開始フラグを含む情報を通知し、
２.２.２）無線端末ポイントはアクセスコントローラへWAI実行開始通知応答メッセージを送信することを含む。
【００１３】
前記ステップ２.３）の具体的なステップは、
２.３.１）アクセスコントローラとステーションとの間のWAI認証ステップ、
２.３.２）アクセスコントローラとステーションとの間のWAIユニキャストキーネゴシエーションステップ、
２.３.３）アクセスコントローラとステーションとの間のWAIマルチキャストキー通知ステップを含む。
【００１４】
前記ステップ２.４）の具体的なステップは、
２.４.１）アクセスコントローラは無線端末ポイントへWAI実行終了通知を送信し、無線端末ポイントにステーションのMACアドレス、WLAN ID、及び無線端末ポイントに被制御ポートを開き、対応するステーションからの、WAIプロトコルデータと非WAIプロトコルデータを含む全てのデータを転送するように通知するための認証終了フラグを含む情報を通知し、
２.４.２）無線端末ポイントはアクセスコントローラへWAI実行終了通知応答メッセージを送信することを含む。
【００１５】
前記ステップ２.５）の具体的なステップは、
２.５.１）アクセスコントローラはステーションへのデータを暗号化して送信し、
２.５.２）アクセスコントローラはステーションからのデータを復号化することを含む。
【発明の効果】
【００１６】
本発明は、スプリットMACモードによる集中型WLANネットワークアーキテクチャにおける実体同士の間の通信交換手順を提供する。当該通信交換手順において、APのMAC機能とWAPI機能を無線端末ポイントWTP(Wireless Terminal Point)とACに分散し、WTPでステーションSTA(Station)との間のGB15629.11規格により要求された、ビーコンフレームとプローブ要求フレームに対する応答等を含むリアルタイム情報交換を実現し、ACでSTAとの間の、関連とWAPIプロトコル等を含む非リアルタイム交換を実現し、このようなAP機能の区分モードを、ACによりWPIを実現するスプリットMACモードと称する。本発明は、従来技術と比べて、スプリットMACモードによる集中型WAPIネットワークアーキテクチャの実現方法を提供することによって、従来のWAPIプロトコルによる自律ネットワークアーキテクチャが大規模なWLANの構成ニーズに適用できない限界性を克服し、スプリットMACのモードを採用することによってACによるWTPへの統一的なモニタリング、配置及び制御を実現し、WLANにおけるWTPをまとめて管理する目的を達成し、ACによりWAPIプロトコルを実現する方式を採用してWAPIプロトコルと集中型WLANアーキテクチャとをシームレスに融合することにより、WLANのセキュリティを確保できる、という利点を有する。以上のように、本発明は、WLANの大規模構成のニーズを満足することができると共に、集中型アーキテクチャにおけるWLANのセキュリティを確保することができる。
【図面の簡単な説明】
【００１７】
【図１】ACによりWPIを実現するスプリットMACモードによる集中型WAPIネットワークアーキテクチャのメッセージフローチャートである。
【発明を実施するための形態】
【００１８】
図１を参照すると、本発明の最適な実施例によれば、その具体的な方法は以下のようになる。
１）ACによりWPIを実現するスプリットMACモードを構築し、即ち、APのMAC機能とWAPI機能をそれぞれWTPとACに分散し、
２）ACによりWPIを実現するスプリットMACモードにおいて、WAPIと集中型WLANネットワークアーキテクチャとの融合を実現する。以下のようなステップを含む。
２.１）STAと、WTP及びACとを関連して接続するステップにおいて、
２.１.１）STAはWTPのビーコンフレームを受動的に検出して、例えばWTPのサポートする認証及び鍵管理スイートとパスワードスイート等、WAPI情報要素を含むWTPの関連パラメータを取得し、或はSTAは主動的にWTPへプローブ要求フレームを送信し、WTPはSTAからのプローブ要求フレームを受信した後に、STAへプローブ応答フレームを送信し、STAはWTPからのプローブ応答フレームを受信して、例えばWTPのサポートする認証及び鍵管理スイートとパスワードスイート等、WAPI情報要素を含むWTPの関連パラメータを取得し、
２.１.２）STAはWTPからのプローブ応答を取得した後に、ACへリンク検証要求フレームを送信してACとの間のリンク検証を要求し、
２.１.３）ACはSTAからのリンク検証要求フレームに応じて、STAへリンク検証応答フレームを送信し、
２.１.４）リンク検証が成功した後に、STAはACへ関連要求フレームを送信してACとの関連付けを要求し、STAは関連要求にWAPI情報要素を含めてSTAにより選択された認証及び鍵管理スイートとパスワードスイート等を特定し、
２.１.５）ACはSTAからの関連要求フレームを解析し、STAへ関連応答フレームを送信する。
【００１９】
２.２）ACとWTPとの間でWAIの実行開始を通知するステップにおいて、
２.２.１）ACはWTPへWAI実行開始通知を送信し、WTPにSTAのMACアドレス、WLANID番号、WTPに被制御ポートを閉め、対応するSTAからのWAIプロトコルデータのみを転送するように通知するための認証開始フラグ等を含む情報を通知し、
２.２.２）WTPはACへWAI実行開始通知応答メッセージを送信し、
２.３）ACとSTAとの間でWAIプロトコルを実行するステップにおいて、
２.３.１）ACとSTAとの間のWAI認証ステップ、
２.３.２）ACとSTAとの間のWAIユニキャストキーネゴシエーションステップ、
２.３.３）ACとSTAとの間のWAIマルチキャストキー通知ステップ、を含み、
２.４）ACとWTPとの間でWAIの実行終了を通知するステップにおいて、
２.４.１）ACはWTPへWAI実行終了通知を送信し、WTPにSTAのMACアドレス、WLANID、WTPに被制御ポートを開き、対応するSTAからの、WAIプロトコルデータと非WAIプロトコルデータを含む全てのデータを転送するように通知するための認証終了フラグ等を含む情報を通知し、
２.４.２）WTPはACへWAI実行終了通知応答メッセージを送信し、
２.５）ACとSTAとの間でWPIを利用してセキュリティ通信を行うステップにおいて、
２.５.１）ACはSTAへのデータを暗号化して送信し、
２.５.２）ACはSTAからのデータを復号化する。
【００２０】
前記の実施例において、ACとWTPとの間で予めセキュリティチャンネルを設置することができる。当該セキュリティチャンネルは、ACを利用してWTPとプライベートネットワークを確立し、或はセキュリティプロトコル(例えばデータグラム・トランスポート・レイヤ・セキュリティDTLS(Datagram Transport Layer Security)プロトコル)を利用して確立することができる。
【図１】
0005208285.tif 000002