(57)【特許請求の範囲】
【請求項１】
VLANをブリッジするセマンティクスを拡張するための方法であって、
802.1Q IEEE VLANブリッジ・モデルに従ってタグなしフレーム、およびタグ付きフレームを提供するステップ；
すべてのカプセル化されたフレームが、当該VLANに属するタグ付きフレームの範囲内で使用されたタグと異なるVLANタグを有する、暗号によってカプセル化されたフレームを提供するステップ；
インバウンドおよびアウトバウンド・トランク・ポートに分割されたトランク・ポートを提供するステップ；
当該タグなし、タグ付き、およびカプセル化されたフレーム・タイプのうちの１つをブリッジされた、暗号によるVLANを表す各セグメントに提供するステップ；および
カプセル化されない（タグ付きまたはタグなし）セグメントおよび同じVLANのカプセル化されたセグメント間でトラフィックを転送するステップを有する方法。
【請求項２】
２つの一意的なVLANタグをすべてのVLANフレームと関連づけるステップを更に含み、当該２つの一意的なVLANタグが、当該VLANでタグ付きフレームの範囲内で使用されるVID-T、および当該VLANのカプセル化されたフレームの範囲内で使用されるVID-Eを有する請求項１に記載の方法。
【請求項３】
各VLANに対して、当該VLANに属するようにタグ付けされたフレームの完全性および信憑性をチェックするための暗号認証コード鍵、および当該VLANに属している全てのフレームのプライバシを保証するための暗号鍵を有する一意的なセキュリティ・アソシエーションがある請求項１に記載の方法。
【請求項４】
当該カプセル化されたフレームが、
フレームのデータ・ペイロードを暗号化するステップ；および
結果として生じる暗号文および当該フレームのシーケンス番号に関するメッセージ認証コードを計算するステップを有するencrypt-then-MAC方法に従ってカプセル化される請求項１に記載の方法。
【請求項５】
ポートのタグ付きセット、タグなしセット、およびカプセル化されたセットは、各VLANと関連づけられている請求項１に記載の方法。
【請求項６】
当該VLANに属するものとしてタグを付けられ、かつ当該VLANのカプセル化されたセットのポートにおいて受信されたすべてのフレームの信憑性および完全性を検証するために、VLANに対するセキュリティ・アソシエーションを使用するステップを更に有する請求項１に記載の方法。
【請求項７】
当該ポートに対するイングレス・フィルタリング・ルールを提供して、検証が発生するか否かを決定するステップを更に有する請求項６に記載の方法。
【請求項８】
当該VLANに属するタグ付きおよびタグなしフレームを、当該VLANのカプセル化されたセットのポートから送信する前に、暗号によってカプセル化するために当該アソシエーションを使用するステップを更に有する請求項６に記載の方法。
【請求項９】
ブリッジされた、暗号によるVLANでフレームを送信する装置であって：
少なくとも２つのブリッジ；
当該トランク・リンクのすべてのトランク・リンクが、当該少なくとも２つのブリッジの１つのブリッジのインバウンド・トランク・ポート、および当該少なくとも２つのブリッジの別のブリッジのアウトバウンド・トランク・ポートと関連している複数のトランク・リンク；
複数のアクセス・ポート；
当該アクセス・リンクのすべてのアクセス・リンクが、当該アクセス・ポートの１つのアクセス・ポートと関連している複数のアクセス・リンク；および
物理的分離のために当該VLANを異なるセグメントに暗号によってカプセル化する手段を有する装置。
【請求項１０】
信憑性チェッキングを特定するための当該アクセス・ポートの少なくとも１つと関連しているイングレス・フィルタリング・ルールを更に有し、
当該アクセス・ポートの当該少なくとも１つで受信されたフレームが、関連づけられたVLANに対するセキュリティ・アソシエーションを使用して、認証され、
認証が成功した場合、当該フレームが、当該関連づけられたVLAN対するカプセル化されたセグメントのメンバーであると決定される請求項９に記載の装置。
【請求項１１】
当該アクセス・ポートの少なくとも１つと関連している当該イングレス・フィルタ・ルールが、或る当該VLANに対する認証および完全性チェッキングを特定する請求項１０に記載の装置。
【請求項１２】
当該セキュリティ・アソシエーションを使用して、受信されたフレームの暗号文およびシーケンス番号に関して計算された認証コードを更に有し；
当該認証コードが当該フレームで受信された認証コードにマッチしない場合、当該フレームは破棄され；および
そうでない場合、当該フレームは、関連づけられたVLAN用のカプセル化されたセグメントに属するように決定される請求項１１に記載の装置。
【請求項１３】
VLANのタグ付きおよびカプセル化されたセットに属するインバウンド・ポートにおいて受信されたフレームに対するターゲット・ポート・セットを構成するための１つ以上のルールを更に有し；
当該フレームがタグ付きである場合、当該VLANの前記タグ付きセットのメンバーでない当該VLANの前記カプセル化されたセットのすべてのポートは除去され；および
当該フレームがカプセル化される場合、当該VLANの前記カプセル化されたセットのメンバーでない当該VLANの前記タグ付きまたはタグなしセットの何れかのすべてのポートは、除去される請求項９に記載の装置。
【請求項１４】
受信されたフレームに関して送出セットを構成するための１つ以上のルールを更に有し、そのルールが：
受信されたフレームを当該送出セットに加える；
VLANタグを受信されたフレームに加え；結果として生じるフレームを当該送出セットに加える；
受信されたフレームが、セキュリティ・アソシエーションを使用して、暗号によってカプセル化され；結果として生じるフレームが、VLANタグ付けされ、かつ当該送出セットに加えられる；
受信されたフレームからVLANタグを除去し；タグなしフレームを当該送出セットに加える；
受信されたフレームの暗号文が、セキュリティ・アソシエーションを使用して解読され；結果として生じるフレームが、タグを外され、かつ当該送出セットに加えられる；および
受信されたフレームの暗号文が、セキュリティ・アソシエーションを使用して解読され
；結果として生じるフレームが、タグ付けされ、かつ当該送出セットに加えられるの何れかを有することができる請求項９に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はVLANに関する。より詳しくは、本発明は、ブリッジ暗号VLANに関する。
【背景技術】
【０００２】
基本的なVLAN概念
図1は、2つの VLAN、すなわちVLAN A 13およびVLAN B 15から成るシンプルなポートベースVLAN 10を示す。ポートで受信されるタグなしフレームが属するVLANは、受信ポートに割り当てられたPort VLAN ID(PVID)、またはフレームにおいて伝えられるリンク-レイヤ・プロトコルと関連しているVLAN ID(VID)により決定される。（非特許文献1を参照。）ブリッジが1つより多いVLANからフレームを伝えることができるトランク・リンク16により接続されるので、ブリッジ12、14 間でVLAN情報を伝える方法が、なければならない。VLANタグは、このためにすべてのフレームに付加される。このようなフレームは、VLAN-タグ付きフレームと呼ばれている。
【０００３】
トランク・リンク
トランク・リンクは、VLANブリッジ間のVLAN多重化のために使用されるLANセグメントである（非特許文献2を参照）。トランク・リンクに接続されるすべてのデバイスは、VLANを意識(VLAN-aware)しなければならない。このことは、それらがVLANメンバーシップおよびVLANフレーム・フォーマットを理解することを意味する。トランク・リンク上の、終端局フレームを含む全てのフレームは、VLAN-タグ付きであり、このことは、それらが非ヌルVIDを伝えることを意味する。VLANを意識しない(VLAN-unaware)終端局が、トランク・リンク上に存在することはできない。
【０００４】
1のトランク・リンク16は、2つのブリッジ12、14により共有される多重化LANセグメントである。一般に、VLANを意識した多くのブリッジが、トランク・リンクに接続されるだろう。
【０００５】
アクセス・リンク11は、VLANを多重化しないLANセグメントである。その代わりに、各アクセス・リンクは、タグなしフレーム、または単一のVLANに属するVLAN-タグ付きフレームを伝える。フレームがタグ付きである場合、セグメント上で全てのフレームは、同じVIDを伝え、かつLANセグメント上で終端局は、VLANを意識しなければならない。
【０００６】
さまざまな制限が、VLAN技術の現行状態で生じる。1つの問題は、トランク・リンクに関するVLANの暗号分離のそれである。このような問題を解決する方式の導入自体が、単一のVLANを表す暗号化されたおよび暗号化されていないLANセグメント間の効率的なフレーム転送の問題を提起する。
【０００７】
【非特許文献１】IEEE Std 802.1v-2001, Virtual Bridged Local Area Networks-Amendment 2: VLAN Classification by Protocol and Port
【非特許文献２】IEEE Std 802.1v-2001, Virtual Bridged Local Area Networks-Amendment 2: VLAN Classification by Protocol and Port
【非特許文献３】IEEE Std 802.1Q-1998, IEEE Standards for Local and Metropolitan Area Networks: Virtual Bridged Local Area Networks
【発明の開示】
【課題を解決するための手段】
【０００８】
本発明は、IEEE 802.1Q VLANブリッジ・モデルの3つの拡張を含む（非特許文献3を参照）。第1の拡張は、トランク・リンクに関するVLANの暗号分離である。新しいLANセグメントタイプ（本明細書において、カプセル化されたセグメントタイプと称される）が、導入される。このようなセグメント上で全てのフレームは、暗号および認証コード方式に従ってカプセル化される。第2の拡張は、トランク・ポートのインバウンドおよびアウトバウンド・トランク・ポートへの分割である。第3の拡張は、ブリッジVLANにおける各アウトバウンド・トランク・ポートに関して、ブリッジVLANにおいてフレームを運ぶために必要とされるカプセル化されたおよびカプセル化されていないセグメント間の転送の数を最小限に抑える一連のLANセグメントタイプを、ポートに対して、自動的に推論するプロトコル（本明細書において、トランスファー・ポイント・プロトコル(TPP)と称される）である。
【発明を実施するための最良の形態】
【０００９】
LANセグメントタイプ
3つのタイプのLANセグメント：タグなし、タグ付きおよびカプセル化されたセグメントは、VLANを表す。802.1Q IEEE標準は、タグ付きおよびタグなしセグメントタイプのみに対処する（非特許文献3を参照）。標準は、同じVLANを表すタグ付きおよびタグなしセグメント間のトラフィックの転送用のみにブリッジ・セマンティクス(bridging semantics)を特定する。本発明は、カプセル化されない（タグ付きまたはタグなしの）セグメントおよび同じVLANのカプセル化されたセグメント間でトラフィックを転送することを含むようにブリッジ・セマンティクスを拡張する技術を提供する。一般に、任意の数のLANセグメントタイプが、導入可能である。
【００１０】
VLANを表す各タイプのセグメントに対して1つのフレーム・タイプがある。ブリッジされた、暗号のVLANに、タグなし、VLAN-タグ付き（タグ付きとも称される）、およびカプセル化された：3つの種類のフレームがある。最初の2つのフレーム・タイプは、802.1Q IEEE標準のそれである（非特許文献3を参照）。カプセル化されたフレームは、暗号によってカプセル化される。すべてのカプセル化されたフレームも、また、VLANタグを有する。しかしながら、そのタグは、VLANに属しているタグ付きフレームの範囲内で使用されるタグと異なる。2つの一意的なVLANタグ（VLANのタグ付きフレームの範囲内で使用される）VID-Tおよび（VLANのカプセル化されたフレームの範囲内で使用される）VID-Eは、すべてのVLANと関連している。
【００１１】
各VLANに対して、VLANに属するものとしてタグを付けられたフレームの完全性および信憑性をチェックするための暗号認証コード鍵、およびVLANに属する全てのフレームのプライバシを保証するための暗号鍵を有する一意的なセキュリティ・アソシエーションが存在する。
【００１２】
好適なカプセル化方式は、「encrypt-then-MAC」方式である。この方式において、フレームのデータ・ペイロードは、暗号化され、次に、メッセージ認証コードは、結果として生じる暗号文およびフレームのシーケンス番号に関して計算される。この方式は、2つの主な利点を有する：それは、或るブロック暗号および動作モードと共に使用されるとき、順方向誤り修正を容易にし、およびそれは、解読を伴わずにフレーム認証を可能とする。
【００１３】
ポートのタグ付きセット、タグなしセット、およびカプセル化されたセットは、各VLANと関連している。VLANに対するセキュリティ・アソシエーションは、VLANに属するものとしてタグを付けられ、かつVLANのカプセル化されたセットでポートにおいて受信されたすべてのフレームの信憑性および完全性を検証するために使用される。ポートに対するイングレス・フィルタリング・ルールは、検証が発生するか否かを決定する。アソシエーションは、また、ポートからそれらをVLANのカプセル化されたセットで送信する前に、VLANに属するタグ付きおよびタグなしフレームを暗号によってカプセル化するために、使用可能である。
【００１４】
トランク・ポート
すべてのトランク・ポートは、インバウンドおよびアウトバウンド・ポートを有する。2つのトランク・ポートP1 およびP2 間のトランク・リンクは、P1のインバウンド・ポートをP2のアウトバウンド・ポートに接続し、かつP1のアウトバウンド・ポートをP2のインバウンド・ポートに接続する。したがって、インバウンド・ポートが属するLANセグメントタイプのセットは、正確に、それが接続されるアウトバウンド・ポートのそれらである。したがって、アウトバウンド・ポートのみをLANセグメントタイプのセットに割り当てることは、ブリッジVLANにおける全てのトランク・ポートをLANセグメントタイプのセットに完全に割り当てるために、充分である。
【００１５】
トランク・ポートのインバウンドおよびアウトバウンド・ポートは、LANセグメントタイプの異なるセットに属することが可能である。例えば、トランクのアウトバウンド・ポートは、VLANのタグ付きセットに属することができ、かつインバウンド・ポートは、そのカプセル化されたセットに属することができるが、この場合、VLANのカプセル化されたフレームのみが、インバウンド・ポートに受信され、かつタグ付きフレームのみが、いつもアウトバウンド・ポートから送信される。
【００１６】
アクセス・ポートと異なり、トランク・ポートのインバウンドまたはアウトバウンド・ポートは、同時に、VLANのタグ付きおよびカプセル化されたセットの両方に属することができる。
【００１７】
トランク・ポートのインバウンドおよびアウトバウンド・ポートへの分割は、802.1Q標準には無く（非特許文献3を参照）、ここで、実質的に、インバウンドおよびアウトバウンド・ポートは、同じポートである。したがって、インバウンドおよびアウトバウンド・フレームタイプは、常に、802.1Qの所定のトランク・ポートに対して同じである。
【００１８】
図2は、ブリッジされた、暗号VLANを示す。ポートP1(20)およびP2(21)は、アクセス・ポートであり、1つは、VLAN A 28用、および他方は、VLAN B 29用であり、VLAN AおよびBは、アクセス・リンク30、31を有する。トランク・リンク16は、トランク・ポートP3(22)およびP4(23)を介して2つのブリッジ12a、14aを接続する。P3は、インバウンド・ポートP3iおよびアウトバウンド・ポートP3oを有する。P4は、インバウンド・ポートP4iおよびアウトバウンド・ポートP4oを有する。P4iは、P3oに接続され、およびP4oは、P3iに接続される。P4で受信されたフレームは、インバウンド・ポートP4iに到着し、およびP4から送信されたフレームは、アウトバウンド・ポートP4oを介して離脱する。P3で受信されたフレームは、インバウンド・ポートP3iに到着し、およびP3から送信されたフレームは、アウトバウンド・ポートP3oを介して離脱する。
【００１９】
ポートP5(24)およびP6(25)は、無線アクセス・リンク30に接続される。好ましい具体例において、それらは、実は、それによって、フレームが、RFを介して送受信される単一の無線インタフェース（アクセス・ポイント）を共有する仮想ポートである。たとえそれらが同じRF媒体を共有するとしても、VLAN A 28およびB 29は、異なるカプセル化されたセグメントにより表されることができる。例えば、VLAN Aにおける終端局は、VLAN Bに属する任意のフレームを受信することができるが解読できない。したがって、たとえそれらの物理的分離が単に暗号であるとしても、互いに異なるアクセス・リンク32、33が、AおよびBに対して示される。
【００２０】
P1は、タグなしフレームのみを受信し、およびP2は、タグ付きフレームのみを受信すると仮定する。トランク・リンクは、両方の方向にタグ付きフレームを伝え、および無線アクセス・リンクは、カプセル化されたフレームのみを伝えると、更に、仮定する。次に、VLAN Aに対して、タグなしセットは、{P1}、タグ付きセットは、{ P3o P3i, P4o, P4i }、およ、カプセル化されたセットは、{ P5 }であり；およびBに対して、そのセットは、それぞれ、{  }、{ P2, P3o P3i, P4o, P4i }、および{ P6 }である。
【００２１】
P5でのイングレス・フィルタリング・ルールが信憑性チェッキングを特定する場合、P5で受信されたフレームは、VLAN A用のセキュリティ・アソシエーションを使用して、認証される。成功した場合、フレームは、A用のカプセル化されたセグメントのメンバーであると決定される。フレームが、P4に送出されなければならないと仮定する。次に、ブリッジ2 は、同じセキュリティ・アソシエーションを使用して、フレームをカプセル開放する。ブリッジは、そのタグをA-Tにより置き換えてP4oにカプセル開放されたフレームを送出し、このことによりフレームをAのカプセル化されたセグメントからそのタグ付きセグメントへ転送する。反対に、P4iに到着し、かつP5行きであるフレームは、A用のセキュリティ・アソシエーションを使用してカプセル化される。タグA-Tは、A-Eにより置き換えられ、このことが、フレームをAのタグ付きセグメントからそのカプセル化されたセグメントへ転送する。
【００２２】
具体例の多くのバリエーションが、図2に存在する。例えば、VLAN Bのみのトラフィックを保護することは、望ましいかもしれない。この場合、P5は、Aのカプセル化されたセットに属さない。P6で受信されたフレーム、すなわちB-Eでタグ付けされたフレームのみが、認証され、およびP4iで受信され、かつP6行きのB-タグ付けされたフレームのみが、カプセル化される。
【００２３】
ブリッジ・セマンティクス
複数のポートを有するVLANブリッジを考慮する。フレームがポートPで受信されると仮定する。それは、いくつかの方法のうちの1つでVLANに割り当てられる。もしPがトランク・ポートであるならば、フレームは、その各々が、VLAN、すなわちVIDを識別するフォームVID-TまたはVID-EのVLANタグを伝えなければならない。そうでない場合、フレームは、破棄される。Pがトランク・ポートでない場合、ポートまたはプロトコル・ベースのVLAN分類の何れかは、VLANにフレームを割り当てるために使用されることができる（非特許文献2を参照）。
【００２４】
イングレス・フィルタリング
Pがトランク・ポートであり、かつVIDのタグ付きまたはカプセル化されたセットに存在しない場合、フレームは、破棄される。ポートに対するイングレス-フィルタ・ルールは、或るVLANに対する認証および完全性チェッキングを特定することができる。Pが、そのイングレス・フィルタルールがVLAN VIDに対する認証および完全性チェッキングを必要とするポートである場合、Pで受信されたフレームは、VLANタグVID-Eを有しなければならない。そうでない場合、フレームは、破棄される。好適な実施例において、認証コードは、VIDに対するセキュリティ・アソシエーションを使用して、受信されたフレームの暗号文およびシーケンス番号に関して計算される。それがフレームで受信された認証コードにマッチしない場合、フレームは破棄される。そうでない場合、フレームは、VIDのカプセル化されたセグメントに属すると判断される。
【００２５】
Pが、VIDのタグ付きセットに存在しない、しかしそれがVLAN-タグ付きアクセス・リンクに接続される場合、受信されたフレームは破棄される。
【００２６】
送出プロセス
送出プロセスは、ターゲット・ポート・セットQを構成することから開始する。これは、特定のVLANに属するフレームが送出されなければならないポートのセットである。ポートPで受信されるフレームがVLAN VIDに属すると仮定する。フレームが、殺到するにちがいない場合、Qは、VIDのタグ付き、タグなし、またはカプセル化されたセットのメンバーである任意のアウトバウンドまたはアクセス・ポートを含む。次のステップは、PがVIDのタグ付きおよびカプセル化されたセットの両方に属するトランクのインバウンド・ポートである場合に限り、Qを減らすことである。この場合、受信されたフレームがタグ付きフレームであるならば、VIDのタグ付きセットに属さないVIDのカプセル化されたセットのすべてのポートは、Qから除去される、または受信されたフレームがカプセル化されるならば、VIDのカプセル化されたセットに属さないVIDのタグ付きまたはタグなしセットのすべてのポートは、Qから除去される。インバウンド・ポートがVIDに対してLANセグメントタイプの両方のセットに属するので、インバウンド・ポートは、各LANセグメントタイプのフレームを受信しなければならず、したがって、ターゲット・ポート・セットを減らすことは、正当化される。トランスファー・ポイント・プロトコルは、それが、減少することが空のターゲット・ポート・セットに決して結果としてならないことを保証するプロパティを有する。空のターゲット・セットまで減少することは、ブリッジが、それが受信する理由を有さないフレームを受信したことを意味する。
【００２７】
送出プロセスにおける次のステップは、受信されたフレームに関して送出セットを構成することである。これは、ポートPでVIDに属するフレームを受信する結果として送出されるフレームのセットである。これらは、トラフィックをVLANの1つのLANセグメントから別のものへ転送するために必要なフレームである。図3に示される表は、送出セットを構成するために使用される。Pで受信されるフレームは、（タグ付き、タグなし、またはカプセル化された）VIDに対するLANセグメントの種類Kに属する。同様に、Qのすべてのポートは、LANセグメントの種類、VIDに対してそれが属するポート・セットの種類に属する。
【００２８】
トランク・ポートは、タグ付きおよびカプセル化された2種類のセットを有することが可能である。Qにおけるすべてのポートqに対して、図3の表のルール(K、K’)に従って、フレームを送出セットに加える。ここで、K’は、VIDに対してqが属する種類のポート・セットである。
【００２９】
受信されたフレームに関して送出セットを構成するためのルールは、以下の通りである：
(1) 受信されたフレームを送出セットに加える。
(2) VLANタグVID-Tを受信されたフレームに加える；結果を送出セットに加える。
(3) 受信されたフレームは、VIDに対するセキュリティ・アソシエーションを使用して、暗号によってカプセル化される；結果とし生じるフレームは、VID-EでVLANタグ付けされかつ送出セットに加えられる。
(4) 受信されたフレームからVID-Tを除去する；タグなしフレームを送出セットに加える。
(5) 受信されたフレームの暗号文は、VIDに対するセキュリティ・アソシエーションを使用して解読される；結果として生じるフレームは、タグなしであり、かつ送出セットに加えられる。
(6) 受信されたフレームの暗号文は、VIDに対するセキュリティ・アソシエーションを使用して解読される；結果として生じるフレームは、VID-Tでタグ付けされ、かつ送出セットに加えられる。
【００３０】
現在の好適な実施例において、VLANを表すことができるLANセグメントの3つの異なる種類に対応する、多くて3つのフレームが、任意の送出セットに存在することができる。送出プロセスは、以下の通りに送出セットのフレームを送出する：
・送出プロセスは、VIDのタグなしセットに属するQの各ポートでの送信のために、もしあれば、送出セットで、タグなしフレームを待ち行列に入れる。
・送出プロセスは、VIDのタグ付きセットに属するQの各ポートでの送信のために、もしあれば、送出セットで、VLAN-タグ付きフレームを待ち行列に入れる。
・送出プロセスは、VIDのカプセル化されたセットに属するQの各ポートでの送信のために、もしあれば、送出セットで、カプセル化されたフレームを待ち行列に入れる。
【００３１】
フレーム転送
ブリッジされた、暗号VLANの内で、ステップは、同じVLANを表すLANセグメント間の冗長な転送を除去するために利用される。例えば、各転送が暗号を必要とするので、ブリッジVLANにおいて、カプセル化されないフレームをVLANのカプセル化されたセグメントへ1回より多く転送することを回避することは、望ましい。カプセル化は、1回行われ、かつ全てのブリッジにわたるVLANのカプセル化されたセットに属する全ての出口ポートにより共有されるべきである。同様に、ブリッジ全体の繰り返されるカプセル開放を回避することは、各々が解読を要求するので、望ましい。
【００３２】
例えば、図4のブリッジLANを考慮する。無線トランク・リンク43が接続されるブリッジ1(41) および 2 (42)のポートがVLAN B 44 のカプセル化されたセットに属すると仮定する。トランク・リンク45がVLAN-タグ付きフレームのみを伝える場合、ブリッジ1で受信されたVLAN Bに属するフレームは、ブリッジ 1および2でカプセル化されなければならない。しかしながら、トランク・リンクがカプセル化されたフレームを伝える場合、カプセル化は、ブリッジ1で行われる必要があるだけで、かつブリッジ2と共有される。
【００３３】
カプセル化されたフレームにトランク・リンクを通じて不必要に送信されることを強制する、カプセル化がブリッジLANにおいてあまりにも早く行われる状況も、また、ある。暗号操作を最小限に抑える各VLANに対するカプセル化およびカプセル開放のための転送点(transfer point)が、ある。トランスファー・ポイント・プロトコル（以下に記載する）は、セグメント間のこの転送点を推定する。
【００３４】
トランスファー・ポイント・プロトコル
最小スパニング・ツリー・アルゴリズムは、任意のブリッジLANをノードがブリッジであり、かつエッジがトランク・リンクであるスパニング・ツリーに変えることができる。スパニング・ツリーは、ブリッジ上に半順序を誘発する。例えば、我々は、半順序としてB1<B2を利用することができる、ここで、ブリッジB1は、スパニング・ツリーにおいてB2の親である。最少のブリッジは、スパニング・ツリーのルートである。半順序と共にブリッジのセットは、完全な、半順序セットを定義する。すべての空でないブリッジのサブセットは、最小上界を有する。
【００３５】
スパニング・ツリーのルートで受信されるフレームを考慮する。VLANを表すLANセグメントのうちの1つに属するためにVLANの受信されたフレームを必要とする全てのブリッジの最小上界は、受信されたフレームをそのLANセグメントに関するフレームに変換するための転送点である。
【００３６】
トランスファー・ポイント・プロトコル(TPP)は、2つのリンク-レイヤ・プロトコル、アウトバウンド・トランク・ポートをVLANのタグ付きセットに加えるためのTPP-T、およびアウトバウンド・トランク・ポートをVLANのカプセル化されたセットに加えるためのTPP-Eを有する。トランク・ポートは、VLANをブリッジする全てのブリッジにわたる。例えば、TPP-Eは、図4においてブリッジ1をブリッジ2に接続するアウトバウンド・トランク・ポートが、VLAN Bのカプセル化されたセットのメンバーでなければならないことを決定する。そのように、ブリッジ2での無線トランク・ポートは、そのアウトバウンド無線トランク・ポートに対してブリッジ1により実行されるカプセル化を共有することができる。
【００３７】
TPPは、ブリッジVLANにおけるアウトバウンド・トランク・ポートが属するセットを推定するために、それが、この情報を使用するので、すべてのアクセス・リンク・ポートは、実行の前にVLANのタグ付き、タグなし、またはカプセル化されたセットに割り当てられたと仮定する。TPP-Eは、アウトバウンド・トランク・ポートをVLANのカプセル化されたセットに割り当てることができ、一方、TPP-Tは、同じアウトバウンド・ポートをVLANのタグ付きセットに割り当てることができる。
【００３８】
TPPは、2つのフレーム・タイプ、アナウンス・フレーム(announce frame)およびリプライ・フレーム(reply frame)を有する。これらのフレームの各々は、VLAN IDおよびソース・ブリッジ・ルーティング経路を含む。ここで、経路の各入口は、ブリッジMACアドレスおよび3ビット、すなわち、タグ付き、タグなし、およびカプセル化された、各LANセグメントタイプに対する1ビットを含む一意的な対である。対でアドレスされたブリッジがフレームにおいて名づけられたVLANのタグ付きセットにアクセス・ポートを有するときに限り、タグ付きビットは、ハイである。タグなしおよびカプセル化されたビットは、同様にセットされる。
【００３９】
ブリッジは、TPPアナウンス・フレーム、例えばGARP PDUを、それに公知であるすべてのVLANに対してそのアウトバウンド・トランク・ポートの各々を通して、TPPグループアドレス、例えばGARPアプリケーション・アドレスに送信する。ブリッジがアナウンス・フレームを受信するとき、それは、受信された、名づけられたVLANに関してそれ自体のための対を、経路の右側に追加し、かつ受信しているトランク・ポート以外のその使用可能な、アウトバウンド・トランク・ポートの各々にフレームを送出する。それがこのような他のポートを有さない場合、それは、TPPリプライ・フレームにおいて最終的なルーティング経路および受信されたVIDを、ルーティング経路においてそれに先行するMACアドレスに送信する。アナウンス・フレームの発信ブリッジは、それ自体のための対からのみ成る経路を作成する。ブリッジがインバウンド・トランク・ポート上でTPPリプライ・フレームを受信するとき、それは、経路においてそれに先行するブリッジMACアドレスにリプライ・フレームを送出する。いずれでもない場合、フレームは破棄される。
【００４０】
TPP-E
ブリッジがトランク・ポート上でTPPリプライ・フレームを受信するとき、それに、そのカプセル化されたビットがハイであるルーティング経路におけるブリッジBが続く場合に限り、それは、トランクのアウトバウンド・ポートをフレーム内のVIDのカプセル化されたセットに加える、および
a) 受信しているブリッジが、VIDに対するタグ付きまたはタグなしアクセス・ポートを有し、かつルーティング経路におけるそれの後のブリッジは、Bまで、ハイなタグ付きまたはタグなしビットを有さない；または
b) 受信しているブリッジが、VIDに対するカプセル化されたアクセス・ポートを有する、またはハイなカプセル化されたビットを有するルーティング経路においてブリッジが先行する、の何れかである。
【００４１】
TPP-T
ブリッジがトランク・ポート上でTPPリプライ・フレームを受信するとき、それに、そのタグ付きまたはタグなしビットがハイであるルーティング経路におけるブリッジBが続く場合に限り、それは、トランクのアウトバウンド・ポートをフレーム内のVIDのタグ付きセットに加える、および
a) 受信しているブリッジが、VIDに対するカプセル化されたアクセス・ポートを有し、かつルーティング経路におけるそれの後のブリッジは、Bまで、ハイなカプセル化されたビットを有さない；または
b) 受信しているブリッジが、VIDに対するタグ付けされたまたはタグなしアクセス・ポートを有する、またはハイなタグ付けされたまたはタグなしビットを有するルーティング経路においてブリッジが先行する、の何れかである。
【００４２】
具体例
具体例1
単一のVLANをブリッジすることを考慮する。したがって、各アクセス・ポートがこのVLANに属すると仮定される。このように、ポートのVLANラベル付けは、具体例において省略される。その代わりに、アウトバウンド・トランク・ポートは、LANセグメントタイプ、すなわち、T（タグ付き）、U（タグなし）、およびE（カプセル化された）によってラベルをつけられる。例えば、アウトバウンド・ポートがUによってラベルをつけられる場合、ポートはVLANのタグなしセットに属する。
【００４３】
最初に、すべてのアクセス・ポートは、ポートがVLANに対して属するセットの種類に従ってラベルをつけられる。トランク・ポートは、最初は、ラベルをつけられていない。それらのためのラベルを推定することは、TPPのジョブである。図5は、ここで、2つのブリッジ51、52が、トランク53により接続されたVLAN 50のブリッジングを示す。各ブリッジは、2つのアクセス・ポートを有する。各ブリッジが、タグなしおよびカプセル化されたアクセス・ポートの両方を有するので、TPPは、トランクの両方のアウトバウンド・ポートがVLANのタグ付きおよびカプセル化されたセットに属すると推定する。各インバウンド・ポートも、また、これらのセットに属する。
【００４４】
各アウトバウンド・ポートは、ルールTPP-T(b)に従ってタグ付きセットのメンバーである。それがTPPアナウンス・フレームを開始するとき、各ブリッジはこの事実を推定する。したがって、各ブリッジにより行われる暗号化および解読の両方は、他のものと共有される。
【００４５】
具体例2
図6において、ブリッジ1(61)は、タグなしアクセス・ポートを有し、かつブリッジ2(62)は、カプセル化されたアクセス・ポートを有する。したがって、ブリッジ1のアウトバウンド・ポート63は、ルールTPP-E(a)に従ってカプセル化されたセットのメンバーであり、一方、ブリッジ2のアウトバウンド・ポート64は、ルールTPP-T(a)に従ってタグ付きセットのメンバーである。
【００４６】
具体例3
図7は、純粋にカプセル化されたトランク・リンクを示す。リンクにわたる全てのフレームはカプセル化される、しかしながら、暗号化は、ブリッジ2または3で行われない。図7のブリッジ1(71)が、我々が具体例として仮定する、「B」と名づけられたVLANに対するアナウンス・フレームを開始するとき、図8は、ブリッジ1(71)、2(72)、および3(73)間のTPPメッセージ交換を示す。
【００４７】
具体例4
図7のブリッジ1(71)、および2(72)が交換される場合、結果は、図9のブリッジ暗号VLANである。
【００４８】
具体例5
図10は、各々別のブリッジ81、83、84に接続される、3つのトランク・ポートを有するブリッジ82を示す。ブリッジ4(84)からのトランクのアウトバウンド・ポートは、タグ付きかつカプセル化されたセットに属し、一方、ブリッジ4のインバウンド・ポートに接続されたブリッジ2(82)のアウトバウンド・ポートは、単にカプセル化されたセットのメンバーである。
【００４９】
TPPは、転送点の変化を推定するために、繰り返し動作することができる。それがどれくらい頻繁に動作するか、およびそれが影響を及ぼすブリッジの数は、アクセス・リンクの移動に依存する。例えば、終端局が無線であるならば、ブリッジLANに関する局の動きは、移動されているそのカプセル化されたアクセス・リンクに結果としてなることができる。TPPが再実行されるまで、VLANに対する冗長な転送が存在する可能性がある。
【００５０】
ブリッジVLANは、TPPに参加しないブリッジから成ることができる。一般に、レガシーVLANブリッジに接続されたトランク・ポートを有する1つ以上の暗号VLANブリッジが存在することができる。このような各トランク・ポートが、その代わりに、バーチャルな、タグ付きのアクセス・ポートの集合、トランクにわたって送信可能な各VLANタグに対する1つのポートとして見られる場合、TPPは、参加しているブリッジの間で転送点を推定するために、なお動作されることができる。しかしながら、全体のブリッジLANにわたる冗長な転送が存在する可能性がある。例えば、不参加のコア・スイッチが、各々、同じVLANのカプセル化されたセットにアクセス・ポートを有する、2つの暗号VLANブリッジを切り離すことになっている場合、これらのカプセル化されたセグメント間のトラフィックは、コアへの入口で解読され、次に、出た後で再暗号化されるであろう。アクセス・ポートがVLANのタグ付きまたはタグなしセットに属するコアにない場合、暗号化または解読が、必要ではないことを観察されたい。この場合、TPPは、各VLANタグに対するバーチャル・アクセスポートを、タグ付きアクセス・ポートではなくカプセル化されたアクセス・ポートとして処理することができる。その時、すべてのカプセル化されたフレームがVLAN-タグ付きフレームであるので、2つのカプセル化されたセグメント間の全てのトラフィックは、カプセル化されたフレームとして、透過的にコアをトラバースすることができる。
【００５１】
グループ・セキュリティ
暗号VLAN vは、一意的なセキュリティ・アソシエーションを有する一群のm個の局により定義される。アソシエーションは、以下から成る：
a) 暗号化鍵K v、
b) 認証コード鍵K’v、
c) ディストリビューション鍵K’’ v、および
d) m個のランダムな値R1, R2, …, Rm 。
【００５２】
暗号化鍵は、vに属しているフレームを暗号化し、かつ解読するために、vを意識した(v -aware)ブリッジおよびvの局により、使用される対称的な鍵である。全てのvを意識したブリッジおよびvの局は、K’vを使用して、暗号化されたvのフレームに関して認証コードを計算し、かつ検証する。m個の局の各々に対して、1つのランダムな値がある。グループのi番目の局は、Ri.以外の全てのm個のランダムな値を知っている。それが知っているm - 1個のランダムな値は、vを意識したブリッジによりそれに通信される。ランダムな値のプライバシは、ディストリビューション鍵K’’vを使用して暗号化により保証され、一方、それらの信憑性は、認証コード鍵K’ vを使用して、結果として生じる暗号文に関して計算された認証コードにより保証される。
【００５３】
暗号VLANへの加入
暗号VLANへ加入することは：
新しい局をグループに加えるステップ、および
グループにおける全ての他の局が後で新しい局を除去することを可能にするステップの2-ステップ・プロトコルによって行われる。
【００５４】
ユーザの局は、ユーザおよびvを意識したブリッジに存在している認証者間で、局を介して実行される相互認証プロトコルによって暗号VLAN vへ加入する。相互認証が成功するならば、ブリッジから局まで安全にK v、 K’v、およびR1, R2, …, Rmを転送するために、安全な束の間のチャネルが、ブリッジおよび新しい局間につくられる。次に、加入プロトコルの第2のステップが、実行される。そうでない場合、プロトコルは、直ちに終わる。第2のステップにおいて、同じvを意識したブリッジは、新しい局に対する新しいランダムな値Rm+1を選択し、かつそれを全てのvを意識したブリッジ、およびvを有する局に、K’‘vによって暗号化され、かつK’vを使用して暗号文に関して計算された認証コードを伝えるブロードキャスト・フレームで配布する。次に、ブリッジは、vに対する新しいディストリビューション鍵をつくり、かつそれを全てのvを意識したブリッジ、および新しい局を含むvのメンバーに、K vによって暗号化され、かつK’vを使用して暗号文に関して計算された認証コードを伝えるブロードキャスト・フレームで配布する。
【００５５】
新しい局がそれ自身のランダムな値Rm+1を含むブロードキャストの信憑性を検証することができるにもかかわらず、それが鍵K’’ vを持たないので、それは、それを解読することができない。
【００５６】
暗号VLANからの離脱
局のサブグループは、同時に、おそらく不本意に、暗号VLAN vを離脱することができる。グループの局1,…, kが離脱すると仮定する。これが発生するとき、それは、vを意識したeブリッジにより検出され、次いで、K’vを使用してフレームに関して計算された認証コードを含む単一のブロードキャスト・フレームを介して局1,…, kの離脱をアナウンスする。ブロードキャストは、局1,, kが、離脱したグループのすべてのvを意識したブリッジおよび局に通知するであろう。このような各ブリッジおよび局は、次に、vに対する暗号化、認証コード、およびディストリビューション鍵、各々を、古い鍵の機能およびランダムなR1,…, Rkとして、鍵再生成(rekey)しようとする。すべてのvを意識したブリッジおよびvの全ての残っている局は、この結果、k個少ないランダムな値を含む、新しいセキュリティ・アソシエーションを共有する。
【００５７】
すべてのvを意識したブリッジは、局とは異なり、vに対して現行のディストリビューション鍵を常に有する。したがって、すべてのこのようなブリッジは、vを離脱する任意のサブグループに対するランダムな値の完全セットを常に有し、その結果、それが、常にvに対する鍵を再生成することが可能となる。状況は、しかしながら、局に対して異なる。鍵再生成(rekeying)は、離脱している局に対するランダムな値、これらの局が有さない値の機能を果たす。したがって、それらは、鍵を再生成することができない。さらにまた、フォワード・シークレシー(forward secrecy)は、保証される。離脱した局は、続く鍵再生成の結果として、再び、vのメンバーになることが決してできない。このことは、鍵再生成が現行の鍵の機能を果たすからであり、それは、その後到着する全ての鍵が、常に、局に知られないランダムな値の機能を果たすことを意味する。vへ再加入することによってのみ、局は、再び、vのメンバーになることができる。
【００５８】
本発明が、本明細書において、好適な実施例に関連して説明されたにもかかわらず、当業者は、本発明の精神および範囲から逸脱することなく本明細書で説明した応用例の代わりに他の応用例を使用できることを、容易に認めるであろう。従って、本発明は、添付の特許請求の範囲によってのみ制限されるべきである。
【図面の簡単な説明】
【００５９】
【図１】ポートベースVLANを示すブロック略線図である。
【図２】本発明によるブリッジ暗号VLANを示すブロック略線図である。
【図３】本発明による送出セットの構成を示すフローダイヤグラムである。
【図４】本発明による2つの無線トランク・リンクを有するブリッジ暗号VLANを示すブロック略線図である。
【図５】本発明によるブリッジ暗号VLANのアウトバウンド・ポートの対称的なラベル付けを示しているブロック略線図である。
【図６】本発明によるブリッジ暗号VLANのアウトバウンド・ポートの非対称的なラベル付けを示すブロック略線図である。
【図７】図7は、本発明によってブリッジ暗号VLANの単にカプセル化されたトランクを示しているブロック略線図である;
【図８】図7のブリッジ1が本発明によるVLANに対するアナウンス・フレーム(announce frame)を開始するときのTPPメッセージ交換を示すフローダイヤグラムである。
【図９】図7のブリッジ1および2を交換した後、本発明によるアウトバウンド・ポートのラベル付けを示すブロック略線図である。
【図１０】3つのトランク・ポートを有するブリッジを含むブリッジ暗号VLANにおける本発明によるアウトバウンド・ポートのラベル付けを示すブロック略線図である。
【符号の説明】
【００６０】
16    トランク・リンク
20、21、22、23、24、25    ポート
12a、14a    ブリッジ
28、29    VLAN
30、31、32、33    アクセス・リンク
【図１】
0004447463.tif 000002
【図２】
0004447463.tif 000003
【図３】
0004447463.tif 000004
【図４】
0004447463.tif 000005
【図５】
0004447463.tif 000006
【図６】
0004447463.tif 000007
【図７】
0004447463.tif 000008
【図８】
0004447463.tif 000009
【図９】
0004447463.tif 000010
【図１０】
0004447463.tif 000011