CN100397835C - 用于未知无线终端的受限wlan配置文件 - Google Patents

Abstract

根据本发明，在无线终端对接入点AP来说未知的情况下，该无线终端和作为局域网的一部分的无线局域网WLAN的接入点AP能够交换数据以建立无线链路。无线终端和AP包括用于无线链路的接口以及用于经由该接口通过交换数据帧进行交互的装置。该交互装置适用于构造所产生的用于发送的数据帧并适用于对接收到的数据帧进行解码。这种无线链路对应于由来自所交换的数据帧的特定数据标识的受限关联。并且这种受限关联对应于LAN内的受限访问，该受限访问由专用虚拟局域网VLAN定义。这种受限访问可以有利地适用于类似于从无线终端建立的紧急呼叫的通信。

Description

用于未知无线终端的受限WLAN配置文件

技术领域

本发明涉及一种无线终端，包括用于无线链路到至少部分为无线局域网WLAN的局域网LAN的接口和WLAN的接入点AP。无线终端和AP均包括用于无线链路的接口和用于经由该接口通过交换数据帧来进行交互的装置，该交互装置适用于构造用于发送的数据帧并适用于对接收到的数据帧进行解码。此外，本发明还涉及一种用于在无线终端和WLAN的AP之间建立无线链路的方法。本发明基于优先申请EP 04 292 547.9，在此引用其内容以供参考。

背景技术

多年来很多公众和私人成分的组织和公司或者公司集团使用所谓的局域网LAN。这种LAN通过连接例如电脑、打印机和其他种类的终端之类的不同终端来建立，例如可以建立呼叫(使用基于IP的语音)。对通过LAN的数据流的自动管理和控制由交换机来执行，任务现在由功能强大的服务器来执行。这些LAN为连接到网络接入点的人(用户)提供对本地信息的访问，网络接入点例如配有固定的或可移动的LAN卡的终端。由于LAN还与诸如因特网/IP类型的公共数据网和/或公共交换电话网(PSTN)之类的其他通信网络互连，因此这些用户可以获准访问这些通信网络。

计算机的联网已经为标准的台式计算机增加了大量的功能性。计算机联网提供了共享资源的可能性，使得人们可以更便利地共同工作。为了使计算机可以共同工作，电器与电子工程师协会(IEEE)已经创建了标准以促进电子技术的全部不同学科的公用性和互换性。例如，IEEE标准802定义了一种以太网。通过推行标准，IEEE已经使由不同公司制造的不同类型的设备成功地彼此通信。连接在一起形成网络的所有终端通常称为端节点设备。LAN是网络的子段(subsection)，对本领域的普通技术人员来说还称为广播域。集线器、网桥或交换机用于在同一物理分段或多个分段中连接所有的端节点设备。不需要路由器，端节点设备就可以与在同一LAN上的其他端节点设备通信。当必须在其他LAN分段上的端节点设备之间建立通信时，就需要路由器或网关设备。特别地，通过这样一个设备将每个LAN与其他LAN分隔开。随着网络的扩展，需要更多这样的设备来分离进入LAN的用户并提供连通性。

在尝试克服LAN的物理局限性的过程中，开发出了虚拟局域网(VLAN)。可以将VLAN看作在不同物理LAN分段上的一组设备，这些设备可以彼此通信，就如同它们全都在同一物理LAN分段上一样。VLAN在LAN上提供了很多优点。使用VLAN，可以将计算设备逻辑地组合到一个单独的广播域中。这样就可以为这些VLAN定义只对需要看到这些VLAN的那些设备进行的广播业务，从而减少到网络的其余部分的业务。由于消除了来自路由器连接的延迟，连接速度得到提高。如果不允许来自外部网络的访问，即不允许那些从路由器之外的另一个子网发起的访问，就会实现提高安全性的附加优点。另外，还可以定义具有受限服务的特殊配置文件，受限服务例如访问因特网，或者访问公司内网的某些部分，或者访问VoIP或其一部分即用于建立紧急呼叫的那一部分。这种受限配置文件将由对应于特定WLAN的逻辑地址来标识。

现在，一种可以使用无线接口来建立网络的新技术开始流行。基于标准IEEE 802.3，这种技术可以处理用于从空中访问有线LAN的操作。无线LAN WLAN技术包括在标准IEEE 802.11(a、b、g)中定义的各种技术。WLAN既可以用于替代有线LAN，也可以用作无线LAN基础设施的扩展。

WLAN基础设施包括诸如无绳电话或便携式计算机之类的无线终端，并且可以包括但不是必须包括接入点AP，其中终端与接入点之间的数据传输部分地或全部地以无线模式采用无线电波或红外技术进行。

通常采用OSI模型(开放式***互联)来描述电信网络的结构，该模型定义了接口，通过这些接口不同设备和相关软件可以彼此通信。OSI模型基于层的概念，最低层或第一层称为物理层，涵盖了与数据传送有关的逻辑问题、电问题的和机械问题的所有内容。第二协议层，即数据链路层负责建立连接、纠错和断开连接。第三协议层，即网络层提供不依赖于网络结构的数据传送。随后的层为传输层(第四层)、会话层(第五层)、表示层(第六层)以及应用层(第七层)。

标准化为硬件和软件厂商提供了框架，以便可以同时使用不同厂商的产品。WLAN标准的名称是IEEE 802.1，并且已经逐渐为其补充了多个子标准。根据即将推出的IEEE 802.11i标准，将根据诸如IEEE802.1x协议之类的第二协议层认证方法在终端设备与网络之间传输IP数据包之前进行WLAN认证。

WLAN基础设施的基本拓朴通常称为基本服务集BSS，包括两个或更多无线节点或站点(无线终端)，这些无线节点或站点已经彼此识别并且已经建立了通信。在最基本的形式中，多个站点在对等的级别(peer-to-peer level)上直接彼此通信，共享给定的蜂窝覆盖区域。这种类型的基础设施通常形成于临时性的基础之上，并且通常称为自组网(ad hoc network)或独立基本服务集IBSS。

在大多数情况下，BSS包含至少一个接入点AP。AP的主要功能是形成无线LAN与有线LAN之间的桥接。AP类似于蜂窝电话网络中所使用的基站。当存在AP时，站点之间并不在对等基础上通信。站点之间或站点与无线网络客户端之间的所有通信都通过AP进行。AP是不可移动的，并且其形成无线网络基础设施的一部分。

在有线LAN中，地址等效于物理位置。这可以在有线LAN的设计中明确假定。在IEEE 802.11中，可寻址单元是一个站点(STA)。STA是消息目的地，但(通常)不是固定的位置，即STA是无线终端。在这一标准中定义了逻辑寻址方式，使得无线媒介、分配***和有线LAN基础设施全都可以使用不同的地址空间，通常即媒体访问控制MAC地址。尽管标准IEEE 802.11拟用于专门促进与IEEE 802.3有线以太LAN的结合，但其只指定了无线媒介的寻址。因此，IEEE 802的48比特寻址方案也适用于802.11，从而保持了与整个IEEE 802标准族的地址兼容性。但是在绝大多数安装中，分配***是IEEE 802有线LAN并且所有的三个逻辑寻址空间是相同的。

对于WLAN，安全性是一个相当热门的问题。实际上，对访问的限制不是像有线LAN那样通过不同终端的物理布线来物理地给出的。因此，对WLAN加以特殊限制。在标准IEEE 802.11中定义了两种用于保护WLAN的不同实体之间通信的方法，即认证和编码。通过认证来验证一个站点是否具有与给定覆盖区域中的第二个站点通信的授权。在基础设施模式中，认证建立在AP与每个站点(无线终端)之间。认证可以是开放***认证或共享密钥认证。在开放***中，任何站点都可以请求认证。开放***认证是可用认证算法中最简单的算法，其中任何请求认证的站点都可以得到认证。但是在真实世界，由于不能控制无线终端对WLAN的访问，因此这种认证完全没有用处。并且可能有90％以上的已经实现的WLAN都采用基于不同站点或无线终端的媒体访问控制MAC地址的逻辑程序。这种程序通常基于某些***管理员对可以建立到WLAN的无线链路的无线终端的不同MAC地址的列表的管理。这些用户定义的列表是获得对WLAN的访问的已知的和允许的站点的所有MAC地址的受限列表。***管理员可以管理来自连接到LAN的某些桌面的列表。可以采用简单网络管理协议SNMP将MAC地址的每个新的入口或连接从桌面发送到LAN的交换机。可以将处理认证的不同的服务器连接到这种交换机。必须将这一用户列表以及任何更新转发到WLAN的每个AP，这些AP连接到LAN。

因此，对于大部分现有的WLAN并且尤其是在基础设施模式下即在包括一个或多个AP的WLAN的情况下，将对这种WLAN的访问仅限制于WLAN已知的站点或无线终端。包括无线接口但对WLAN来说未知的任何其他无线终端都将完全无权访问WLAN。事实上，由于这些无线终端的寻址(MAC)方案是未知的，因此完全不可能建立这些无线终端与WLAN的AP之间的通信或链路。

在欧洲专利EP 1 398 939中描述了一种分配作为WLAN的LAN的用户终端资源的处理服务器。该服务器连接到WLAN的至少一个AP，并包括控制装置。控制装置适用于根据无线终端是否适用于与WLAN建立按照至少一种格式加密的通信来将这些无线终端分为第一组和第二组。控制装置还适用于根据无线终端是分到了所述第一组中还是分到了所述第二组中来将WLAN的资源分配到尝试建立通信的无线终端。控制装置确定尝试与WLAN建立通信的每个无线终端的MAC地址。并且服务器以采用动态主机配置协议DHCP来为具有以这种方式确定的MAC地址的无线终端分配IP地址。欧洲专利EP1398 939中所公开的对这种服务器的使用给出了在无线终端的MAC地址不对应于这两组之一的情况下建立到WLAN的一种受限连接的可能性。尽管现有技术中所公开的发明相当具有吸引力，但是因为它和所应用的标准不兼容，因此不能用于现有的和将建成的WLAN。实际上，在现有的WLAN中，AP甚至不能与未知无线终端开始任何通信或是建立无线链路。因此，在无线终端的相应MAC地址未识别和未知的情况下，完全不可能允许该无线终端访问WLAN。

发明内容

考虑到上述内容，本发明的一个目的是提供一种无线终端和无线局域网的一种接入点AP，当无线终端对AP来说是未知的时，该无线终端和AP能够交换数据以建立通信。本发明还有一个目的是提供一种用于建立到作为LAN的一部分的WLAN的AP与对该AP来说未知的无线终端之间的局域网LAN的访问的方法，这种访问可以适用于类似于紧急呼叫之类的通信。

根据本发明，通过提供一种无线终端和WLAN的至少一个接入点AP来实现这一目的，该无线终端和AP包括用于彼此之间的无线连接的接口以及用于经由该接口通过交换数据帧进行交互的装置。交互装置适用于构造所产生的用于发送的数据帧并适用于对接收到的数据帧进行解码。当无线终端对AP来说未知时，无线终端和AP能够执行受限关联。这种受限关联由来自所交换的数据帧的特定数据来标识。并且这些受限关联对应于至少部分为WLAN的LAN内的受限访问，该受限访问由专用虚拟局域网VLAN定义。

在根据本发明的备选实施例中，该特定数据从无线终端发送，由AP接收。当无线终端的用户希望获得对WLAN的受限访问时，可由该用户有利地激活这种动作。当需要紧急呼叫时，这一点有可能是非常重要的。

在根据本发明的另一备选实施例中，AP在将由无线终端接收的广播数据帧中发送该特定数据。可以将本发明实现为使AP周期性地发送这些广播数据帧。在本发明的又一实施例中，相对于标识对应于受限关联的LAN内的受限访问的专用VLAN的信息由该LAN到AP的交换机提供。以这种方式，AP能够以一种独立的方式(不需要与用于每个受限关联的交换机进行协商)使无线终端获得对WLAN的受限访问。

根据本发明的另一方面，通过一种用于在无线终端和WLAN的AP之间建立无线连接的方法来实现其目的。该方法包括通过在无线终端对AP来说未知时交换特定数据来开始受限关联的步骤。这种特定数据标识了对应于至少部分为WLAN的LAN内的受限访问的受限关联。并且这种受限访问由专用VLAN定义。本发明的一个实施例中的受限访问对应于LAN内用于无线终端的用户的配置文件。这种配置文件可以定义对例如内网的受限访问即对私有网络的受限访问，或对因特网的访问，或对所涉及的用于语音通信的部分或全部VLAN的访问。

独立权利要求、以下描述和附图中将对本发明的有利进展进行描述。

附图说明

现在参考附图对本发明的示例性实施例进行进一步解释，其中：

图1是本发明所使用的结构的示意图；

图2a、图2b是根据本发明执行关联的两种可能方法；

图3是根据本发明的包括特定数据的典型数据帧的示意图。

具体实施方式

图1中示出了用于实现本发明的网络结构的示例。该网络包括局域网1。该LAN包括未全部在图1中示出的多个终端，诸如PC、打印机或IP类电话。此外，LAN 1包括彼此之间互连的多个交换机3。这可以是用于校园类网络即中型到大型私有网络的典型结构。为此目的，将LAN 1连接到多个接入点AP 4构成WLAN。AP 4可以连接到相同的交换机3，但也可以分布在整个LAN 1上。将标准IEEE 802.1中通常称为站点的无线终端描述为无绳电话5。但是只要可以执行关联，类似于PC或膝上型电脑的其它无线终端或包括无线接口的任何其它类型的终端也可以建立到AP 4的连接(见以下描述)。图中示出了连接到LAN 1的交换机3的PC 6，并且其可以对应于管理该LAN1的***管理员之一。图中还示出了连接到LAN 1的交换机3的认证服务器7，但这种认证服务器也可以是交换机3的一部分或者是来自***管理员的PC6。例如，当在用户能够连接到该LAN 1之前必须执行注册步骤时，该认证服务器7是必需的。当WLAN需要认证时，也可以采用这种认证服务器。

用作WLAN标准的标准IEEE 802.11提供了不同站点或无线终端与AP之间的链路级认证。该标准没有提供端到端(消息源到消息目的地)或用户到用户的认证。相反，认证仅用于根据有线链路的既定物理标准来建立无线链路。这样的认证独立于可用在网络协议栈的更高级别中的任何认证配置文件。如上所述，大多数已经实现的WLAN都采用基于MAC地址的知识通过可以建立与该LAN的链路的不同无线终端的WLAN的受限认证程序。这种MAC地址通常非排他性地由某些***管理器作为MAC地址列表而管理。这种MAC地址列表可以存储在类似于LAN 1的认证服务器7的认证服务器中。***管理员负责通过其PC 6采用简单网络管理协议SNMP来更新列表。WLAN的每个AP 4由来自相应的交换机3的更新后的MAC地址列表提供。以这种方式，只有当无线终端5的MAC地址已经由***管理员输入该列表中时，才会建立无线终端5与AP 4之间的无线连接或链路。否则，不会发生关联。

当实现本发明时，仍然可以根据下述特殊要求来建立AP 4与某些未知的无线终端即具有未存储在MAC地址列表上的可访问该AP的无线终端之间的无线连接或链路。如果通过标识这种受限关联的无线链路交换特定数据，则在其所能到达的范围内建立这种对应于WLAN的AP与无线终端之间的受限关联的无线链路。以这种方式，在成功地与无线终端建立受限关联之后，该无线终端将获得LAN内的受限访问，而这种受限访问由专用虚拟局域网VLAN定义。

图2a和图2b示出了根据本发明建立用于受限关联的无线链路的两种备选方法。图2a中示出了一种情况，其中可能但并非只能在用户请求在无线终端进行受限访问之后，无线终端或移动台才尝试快速地对WLAN的AP进行定位。首先，由无线终端发送一个探测请求帧a，无需知道AP是否存在并可到达。这种探测请求帧同时还包含对于AP未知的无线终端的MAC地址以及标识所需受限关联的特定数据。并且WLAN的覆盖将依赖于拓朴、所使用的无线的或红外的无线接口、所使用的例如大约2.4GHz或5GHz的频带以及数据速率，这种覆盖可到达最多几公里，通常多于几十米。在乐观的情况下，AP接收特定数据，然后AP通过对应于该受限关联的探测响应b做出应答。实际上，当从具有未知地址的无线终端接收到探测请求帧a时，AP执行在可以访问WLAN的无线终端的地址列表中寻找该地址的程序。但是，由于该地址未在地址列表中注册，因此如果没有接收到标识所需受限关联的特定数据，AP就锁定从该无线终端到WLAN的任何访问。因此，尽管受限关联对AP来说是未知的，该受限关联仍可以发生在无线终端与AP之间，其首先是认证c，接着是关联请求d，并且最后是为无线终端打开到WLAN的受限关联的关联响应e。这种受限关联对应于LAN内由专用VLAN标识的受限访问。只有当AP接收到由LAN的某些交换机3采用例如逻辑链路发现协议LLDP发送的标识这种专用VLAN的信息时，才有可能发生受限关联与受限访问的对应关系。

图2b示出了另一种备选方法，其中这种受限关联由WLAN的AP开始。在这种情况下，AP通常周期性地发送信标广播到允许站点即无线终端以定位和标识WLAN的BSS。在本发明的环境中，WLAN的AP可以发送通常已知的无线终端分配的信标广播，可选地由该信标广播提供到未知的无线终端的受限关联。还可以考虑对应于受限关联的信标广播并行地由AP发送或仅由某些有限数量的这种AP发送。在对应于受限关联的信标广播的本情况中，AP发送信标帧a’，由站点或无线终端接收。在接收到这种包括特定数据的特定信标帧之后，无线终端进行通常的认证c，接着进行关联请求d，AP以打开到WLAN的受限访问的关联响应e对关联请求d做出应答。

图3中示出了在无线终端和WLAN内的AP之间交换的典型数据帧。图2a中示出的备选的广播探测请求a以及备选的图2b中示出的信标广播a’通常根据图3中示出的数据帧来构造。数据帧包括诸如时戳、信标间隔和容量信息之类的固定字段。时戳是64比特的字段，包含站点值(可选2a)或发送帧时的AP(可选2b)同步计时器的值。信标间隔是发送信标的周期。容量信息字段是一个16比特的字段，标识了站点或AP的容量。信标或探测帧中的信息单元是服务器设置标识码SSID、所支持的速率、物理参数集(FH和DS)、备选的争用周期CF参数集、备选的独立基本服务集IBSS参数集以及备选的业务指示图TIM。SSID通常包含备选2a的未知无线终端的MAC地址。在两种备选方案中，可以将标识受限关联的特定数据***SSID或IBSS中。只要以标准的方式达成协议，也可以考虑采用***特定数据的其他可能方案。实际上，已经存储这种特定数据的不同厂商的任何无线终端都能够通过其交互装置来将用于构造数据帧的这种特定数据***数据帧中，以通过无线链路对数据帧进行发送或对接收到的数据帧进行解码。并且当与无线终端交换数据帧内的特定数据时，可以来自不同厂商但可以通过链路由交换机例如采用LLDP提供或更新的具有这种特定数据的任何AP都能够建立这种受限关联。

根据需求，对应于LAN内由专用VLAN标识的受限访问的受限关联可以应用于不同的受限配置文件。每个受限配置文件将由特定的专用VLAN标识，这种标识可由交换机采用LLDP提供给WLAN的AP。受限配置文件可以专用于采用通常的电话号码来建立紧急呼叫，该电话号码在欧洲是112，在美国是009。在这种情况下，当无线终端的用户开始在其包括无线接口和用于***特定数据的交互装置的无线终端上拨打紧急号码时，下述程序将发生。甚至在开始尝试建立紧急电话呼叫和在WLAN覆盖范围内出现请求之前，无线终端的交互装置就首先通过图2a所示的数据帧(广播探测请求)来发送对应于这种紧急呼叫的特定数据。并且在这种情况下，只有在AP允许(以透明的方式)无线终端访问(通常是受限的)专用VLAN以进行紧急呼叫时，才能成功地执行与AP的关联。

受限的配置文件可以具有其他应用，例如可以使未知的无线终端获得该WLAN覆盖范围内的私有网络的某些特定服务。这种特定服务有可能不是保密的或昂贵的，例如访问(受限的)因特网或该私有网络的内网的某些部分或访问某些私有电话簿。对应于待交换的不同特定数据的所有这些不同的受限访问都能够由不同的专用VLAN标识，该专用VLAN由作为LAN的至少一部分的WLAN的AP所知晓。

Claims (11)

1.一种无线终端(5)，包括用于到至少部分是无线局域网WLAN的局域网LAN的无线链路的接口和用于经由所述接口通过交换数据帧与所述WLAN进行交互的装置，其中所述交互装置适用于构造用于发送的数据帧并适用于对接收到的数据帧进行解码，其特征在于：从接收到的由所述WLAN的接入点AP(4)周期性地广播的信标帧解码特定数据，所述特定数据标识未知的无线终端(5)与所述AP(4)的受限关联，于是所述未知的无线终端能够与所述AP交换数据帧以便在所述受限关联内建立通信，所述受限关联对应于所述LAN内由专用虚拟局域网VLAN标识的受限访问。

2.根据权利要求1所述的无线终端(5)，其特征在于所述交换数据帧以便建立包括认证和关联请求。

3.根据权利要求1所述的无线终端(5)，其特征在于所述认证请求属于开放***种类。

4.根据权利要求1所述的无线终端(5)，其特征在于所述受限访问适用于建立紧急呼叫。

5.一种无线局域网WLAN的接入点AP(4)，所述AP(4)包括用于无线终端与无线链路的接口和用于经由所述接口与所述无线终端(5)进行交互的装置，所述交互装置适用于构造用于发送的数据帧并适用于对接收到的数据帧进行解码，其特征在于：所述AP(4)适合于周期性地广播包含特定数据的信标帧，所述特定数据标识与未知的无线终端的受限关联，所述特定数据将由无线终端(5)从接收到的信标帧中解码，从而能够在未知的情况下与所述AP(4)交换数据帧以便在所述受限关联内建立通信，所述受限关联对应于所述LAN内由专用虚拟局域网VLAN标识的受限访问。

6.根据权利要求5所述的AP(4)，其特征在于由所述LAN的交换机为所述AP提供所述专用VLAN的标识，使得所述AP(4)可以使所述未知的无线终端访问所述VLAN。

7.根据权利要求5所述的AP(4)，其特征在于所述受限访问适用于建立紧急呼叫。

8.一种用于在无线终端(5)与无线局域网WLAN的接入点AP(4)之间建立无线链路的方法，所述无线终端(5)和所述AP(4)包括用于所述无线链路的接口和用于经由所述接口通过交换数据帧来进行交互的装置，所述交互装置适用于构造用于发送的数据帧并适用于对接收到的数据帧进行解码，所述方法的特征在于以下步骤：

由所述AP(4)周期性地广播包含特定数据的信标帧，所述特定数据标识受限关联，所述受限关联对应于在至少部分为WLAN的LAN内的受限访问，所述受限访问由专用虚拟局域网VLAN定义；

由所述未知的无线终端接收所述信标帧；

由所述无线终端(5)的交互装置从所述接收到的信标帧解码所述特定数据；

在所述无线终端(5)和所述AP(4)之间交换数据以便在所述受限关联内建立通信。

9.根据权利要求8所述的方法，其特征在于由LAN的交换机为所述AP(4)提供专用VLAN的标识，使得所述AP(4)可以使所述无线终端访问所述VLAN。

10.根据权利要求8所述的方法，其特征在于将所述方法应用于适用于建立紧急呼叫的受限访问。

11.根据权利要求8所述的方法，其特征在于对于对WLAN来说未知的无线终端用户(5)，将所述方法应用于对应所述LAN内的配置文件的受限访问。

Images