JP2006521763A - 無線アクセスポイント間での安全なローミング - Google Patents

Abstract

無線アクセスポイント間で無線クライアント局のローミングを可能にするシステム、方法及びコンピュータ読取可能媒体が開示される。セッションデータ要求を受信するようにプログラムされたゲートウェイがネットワークに提供され、ゲートウェイにセッションデータ要求を送信するようにプログラムされたアクセスポイントを有する。ゲートウェイは、要求側アクセスポイントにセッション情報設定コマンドを送信し、又はアクセスポイントにセッションデータ失敗応答を送信する。

Description

２００３年３月２７日に出願された仮特許出願第６０／４５８１８９号の利益が主張される。

本発明は、無線ローカルエリアネットワークに関し、特に無線アクセスネットワークの無線アクセスポイント間でのローミングを促進する方法及びシステムに関する。

近年、ＩＥＥＥ８０２．１１ベースの無線ローカルエリアネットワーク（ＷＬＡＮ）は、多くの研究開発の焦点になってきている。ＷＬＡＮは、ポータブルコンピュータのユーザが有線の世界の束縛から抜け出し、同程度のネットワークスループットで自由に動き回ることができるように、簡単で使用するのに便利で高いスループットの方法を提供する。しかし、ユーザが一方のアクセスポイントから他方に移動すると、シームレスなローミングを提供する必要が存在する。現在の技術は、この要件を適切に満たさない。

ほとんどの現在の配備では、ＩＥＥＥ８０２．１１はスタティックＷｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ（ＷＥＰ）キーを使用し、ユーザ毎のセッションキーをサポートしない。そのため、無線局（通常はクライアント）及びローミングに関与する全てのアクセスポイントは、同じスタティックＷＥＰキーを有し得る。しかし、スタティックＷＥＰキーでのセキュリティ問題が大いに公表されてきている。更に、スタティックＷＥＰキープロトコルは、多数のアクセスポイントへの認証情報の配信を解決しない。この問題を解決するため、ＩＥＥＥ８０２．１１標準は、アクセスポイント間プロトコル（ＩＡＰＰ：Ｉｎｔｅｒ Ａｃｃｅｓｓ Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ）を開発しようとしている。

ＩＥＥＥ８０２．１ｘ標準は、ポート制御のアクセス制御を使用することにより、ＩＥＥＥ８０２．１１でのセキュリティ問題に対処している。大規模の８０２．１ｘの導入では、バックエンド認証サーバがユーザを認証する。無線リンクを安全にするため、無線局は、局とアクセスポイントと認証サーバとを含む認証プロセスを通過しなければならない。認証が成功した場合、無線局とアクセスポイントとの間でセッションキーが合意される。この対策により、高負荷ではあるが（すなわち、例えば信号変動を理由として局が異なるアクセスポイントと関連付けられる毎に、全体の認証プロセスが実行される必要がある）、ローミングが可能になる。このことは、特に認証サーバが無線ＬＡＮから離れている場合（例えば、ＷＬＡＮが例えばＪＦＫ空港にあるが、認証サーバが例えばカリフォルニアのＳＢＣに属しているような相互接続環境）は、極めて望ましくない。

無線ユーザ（クライアント）がより良い信号強度を備えたアクセスポイントに切り替えようとするときに、シームレスなローミングを提供する必要がある。

また、クライアントが無線アクセスポイント間を移動するときに、一方のアクセスポイントから他方のアクセスポイントにユーザ毎のセッションキー及び認証情報を移動する必要がある。

以下の開示から明らかになる前記及び他の必要性は、本発明により満たされる。一態様では、本発明は、複数のアクセスポイントを制御するゲートウェイを有する無線ローカルエリアネットワークを有する。アクセスポイントは、有線又は他の種類のネットワークに存在する。ゲートウェイは、アクセスポイントからセッションデータ要求を受信し、セッションデータを検査し、要求側アクセスポイントにセッションデータを返信するようにプログラムされる。アクセスポイントは、ゲートウェイにセッションデータの要求を送信し、ゲートウェイからセッション情報設定コマンドを受信して処理するようにプログラムされる。このようなゲートウェイを有するシステムは、無線ネットワークの“インテリジェンス”をそのようなゲートウェイに移し、非常に簡単なアクセスポイントにする。それにより、大規模の配置に対してより容易な制御及びより経済的な導入を可能にする。

他の態様では、本発明は、ネットワークでゲートウェイを提供することを有するネットワークにおける無線アクセスポイント間で無線クライアントのローミングを可能にし、アクセスポイントからゲートウェイにセッションデータ要求を送信し、ゲートウェイに格納されたセッションデータを検査し、セッションデータが見つからない場合に、セッションデータ失敗を報告し、セッションデータが見つかった場合又はゲートウェイにより生成された場合に、ゲートウェイからアクセスポイントにセッションデータ応答を送信する方法及びコンピュータ読取可能媒体を有する。

本発明は、ＩＥＥＥ８０２．１ｘプロトコルを補足し、プロトコルの複雑性を大いに低減することができる。

本発明のシステムの基本アーキテクチャが図１に示されており、ゲートウェイは簡単な機能を備えた複数のアクセスポイントを制御するために使用される。アクセスポイントは、ゲートウェイに直接接続されてもよく、又はネットワークを通じてゲートウェイに接続されてもよい。通常のＩＥＥＥ８０２．１１の物理レイヤ及びＭＡＣレイヤの機能の他に、これらのアクセスポイントは以下の追加機能をサポートしさえすればよい。

局毎のセッションキー。

ゲートウェイからセッション情報（例えばセッションキー及び認証情報）設定コマンドを受け入れるインタフェース。

セッション情報についてゲートウェイに問い合わせ、ゲートウェイからセッション情報を転送する機能。

これらの中で、最初の機能は、現在の市場で多くのアクセスポイントに既に広く利用可能である。他の２つの機能が新規である。

本発明はまた、クライアントが異なるアクセスポイントに移動した後に、無線局（クライアント）が以前に関連付けられていたアクセスポイントでセッション情報を処理する方法を提供する。第１の方法では、ゲートウェイは情報を除去するように以前のアクセスポイントに通知する。第２の方法では、アクセスポイントはタイマを設定し、特定の期間の無活動の後に全てのアイドル状態の無線局のエントリーを除去する。ゲートウェイがエントリーを除去するために特別なコマンドを送信する必要がなく、無線局が２つ以上のアクセスポイントの間でやや迅速に変動する“繰り返し検討（ｔｈｒａｓｈｉｎｇ）”に対処するようにＡＰがエントリーを維持し得るため、第２の方法が好ましい。エントリーが既に存在しているため、アクセスポイントは、全てのセッション情報を転送する代わりに、情報の“鮮度”についてゲートウェイに単に問い合わせてもよい。セッション情報がセッションキーのみを有する場合、このことは重要でないように思われるかもしれないが、大きいセッション情報では、これは潜在的に高速になり、帯域を節約することがある。

ゲートウェイで生成されたセッション情報に対して、アクセスポイントで生成されたセッション情報を処理又は転送することについて差異が存在する。

セッション情報はゲートウェイに転送されなければならず、ゲートウェイはセッション情報を受け入れるためにインタフェースを提供しなければならず、アクセスポイントはゲートウェイにセッション情報を提供する機能で拡張されなければならない。これが図３に示されている。

セッション情報がゲートウェイで生成されると、セッション情報は、無線局が関連付けられているアクセスポイントに転送される必要がある。前述の基本的機能以外に、アクセスポイントで必要な更なる機能は存在しない。

機構を安全にするために、如何なる時点においてもゲートウェイと各ＡＰとの間の接続が信頼されることが確保されなければならない。これは、以前の物理的セキュリティ又は暗号化を通じて確保されてもよい。

物理的セキュリティは、アクセスポイントをゲートウェイに直接又は管理ネットワークを通じて取り付けることを必要とする。

暗号化は、初期の導入及び構成時に、ゲートウェイ及びアクセスポイントが秘密を共有すること、又はゲートウェイが各アクセスポイントと秘密を共有することを必要とする。ゲートウェイとアクセスポイントとの間の通信は、秘密で暗号化される。

本発明の大規模な展開のため、及び迅速なローミングを促進するため、複数のゲートウェイが階層的に構成されてもよい。各ゲートウェイは複数のアクセスポイントに対して責任を負う。無線局が同じゲートウェイに属するアクセスポイントに移動すると、セッションの転送はこのゲートウェイにより制御される。局が最初にＷＬＡＮに関連付けたとき、又は異なるゲートウェイに属するアクセスポイントを通じて移動するときにのみ、ゲートウェイが上位階層のゲートウェイからセッション情報を取得することが必要になる。

図１を参照すると、本発明によるシステムの実施例が示されており、アクセスポイント１１、１２及び１３は有線ネットワーク１４に接続されている。有線ネットワークでのアクセスポイントの数に制限は存在しない。スマート・ゲートウェイ１５は、有線ネットワーク１４に接続されている。ラップトップコンピュータ１６及び１７や携帯情報端末１８及び１９のような無線クライアントは、アクセスポイント１１、１２、１３と通信するように図示されている。現世代のクライアント及びアクセスポイントは、８０２．１１プロトコルを使用する。

次に図２を参照すると、ステップ２０の間に無線局１６がアクセスポイント１１とのアソシエーションを要求するプロセスが示されている。ステップ２１の間に、アクセスポイント１１は、セッションデータ要求をゲートウェイ１５に中継する。ステップ２２の間に、ゲートウェイ１５はセッションデータを検査し、ステップ２３の間にセッションデータが見つからない場合に、ステップ２４の間にセッションデータ失敗信号がアクセスポイント１１に中継される。次に、ステップ２５の間にアクセスポイント１１はセッションデータを生成し、ステップ２６の間に生成したセッションデータをゲートウェイ１５に送信し、ステップ２７の間に無線局１６にアソシエーション応答を送信する。

セッション情報（セッションキー及び認証情報を有する）は、図２のようにアクセスポイントで生成されてもよく、図３に示すようにゲートウェイで生成されてもよい。図３では、ステップ２０の間に、無線局１６はアクセスポイント１１とのアソシエーションを要求する。ステップ２１の間に、アクセスポイントはセッションデータ要求をゲートウェイ１５に中継する。ステップ２２の間に、ゲートウェイ１５はセッションデータを検査し、ステップ２３の間にセッションデータが見つからない場合に、ステップ２８の間にゲートウェイはセッションデータを生成し、ステップ２９の間にセッションデータ応答をアクセスポイント１１に返信する。ステップ３０の間にアクセスポイント１１はセッションデータをロードし、ステップ２７の間に無線局１６にアソシエーション応答を返信する。

図２、図３及び図４に示すように、アクセスポイントは、セッション情報が無線局に既に存在するか否かを調べるため、まずゲートウェイで検査する。図２及び３に示すように、セッション情報がまだ存在しない場合、無線局はまだＷＬＡＮにより認証されていない、又は以前の認証が終了している。通常の認証ステップが実行され、セッション情報（セッションキーを含む）が局について生成され、現在関連付けられているアクセスポイントとゲートウェイとの双方で設定される。

セッション情報が既に存在する場合（例えば無線局が一方のアクセスポイントから他方に移動したとき）、ゲートウェイはそれをアクセスポイントに戻す。アクセスポイントは、アクセスポイントにその情報（セッションキーを含む）を設定する。このようなプロセスの例が図４に示されている。図４では、ステップ２０の間に、無線局１６はアソシエーション要求をアクセスポイント１１に送信し、アクセスポイント１１は、セッションデータ要求をゲートウェイ１５に中継し、次にステップ２２の間にセッションデータを検査し、それを見つける。ステップ２９の間に、アクセスポイントはアクセスポイント１１にセッションデータを送信し、ステップ３０の間にアクセスポイント１１はセッションデータをロードし、ステップ２７の間に無線局１６に応答してアソシエーションを送信する。

この簡単な手順は、局が再び全体の認証を通過する必要なく、セッション情報が一方のアクセスポイントから他方に無線局と共に移動することを確保する。

従って、前述の本発明は、スマート・ゲートウェイ及び簡単なアクセスポイントでシームレスにローミングする安全な無線ローカルエリアネットワーク・インフラを提供する。

ここでは本発明を詳細に説明したが、本発明の要旨及び範囲を逸脱することなく、多様な代替形態、変更形態及び変形形態が当業者に容易に明らかになる。

アクセスポイントを有する有線ネットワークにおいてゲートウェイを有する本発明のシステムの実施例 本発明による無線局とアクセスポイントとゲートウェイとの間での認証及びアソシエーションプロセスの第１の例のフローチャート 本発明による無線局とアクセスポイントとゲートウェイとの間での認証及びアソシエーションプロセスの第２の例のフローチャート 本発明による無線局とアクセスポイントとゲートウェイとの間での認証及びアソシエーションプロセスの第３の例のフローチャート

Claims (17)

1. アクセスポイントを有する有線ネットワークにおいて、ゲートウェイを有する無線アクセスポイントの間で無線クライアントのローミングを可能にするシステムであって、
   前記ゲートウェイは、
   （ａ）アクセスポイントからセッションデータ要求を受信し、前記セッションデータは、各無線クライアント及び関連のアクセスポイントに関連付けられたセッションキーを有する手段と、
   （ｂ）セッションデータを検査する手段と、
   （ｃ）要求側アクセスポイントにセッションデータを返信する手段を有し、
   前記アクセスポイントは、
   前記ゲートウェイからセッションデータの要求を送信する手段と、
   前記ゲートウェイからセッション情報設定コマンドを受信する手段と、
   を有するシステム。
2. 請求項１に記載のシステムであって、
   各アクセスポイントは、関連付けられたクライアント毎のセッションキーを維持する手段を有するシステム。
3. 請求項１に記載のシステムであって、
   前記ゲートウェイは、
   無線クライアントが前記アクセスポイントにコマンドを送信することを有するアクセスポイントと分離した後に、セッション情報を除去する手段と、
   所定の期間の無活動の後に、前記セッション情報を除去し、及び／又はアイドル状態の無線クライアントのエントリーを除去する手段と
   を有するシステム。
4. 請求項１に記載のシステムであって、
   前記ゲートウェイとアクセスポイントとの間の接続が信頼されることを確保する手段を有するシステム。
5. 請求項４に記載のシステムであって、
   前記手段は、物理的セキュリティ又は暗号化を有するシステム。
6. ネットワークにおいて無線アクセスポイントの間で無線クライアントのローミングを可能にする方法であって、
   （ａ）前記ネットワークにゲートウェイを提供し、アクセスポイントから前記ゲートウェイにセッションデータ要求を送信し、前記セッションデータは、各無線クライアント及び関連のアクセスポイントに関連付けられたセッションキーを有するステップと、
   （ｂ）前記ゲートウェイに格納されたセッションデータを検査し、セッションデータが見つからない場合にセッションデータ失敗を報告するステップと、
   （ｃ）セッションデータが見つかった場合、又は前記ゲートウェイにより生成された場合に、前記ゲートウェイから前記アクセスポイントにセッションデータ応答を送信するステップと、
   を有する方法。
7. 請求項６に記載の方法であって、
   無線局からのアソシエーション要求は、アクセスポイントにより受信され、
   前記ゲートウェイからセッションデータ応答を受信した後に、前記アクセスポイントは、セッションデータをロードし、前記セッションデータを前記無線クライアントに送信する方法。
8. 請求項６に記載の方法であって、
   無線クライアントからのアソシエーション要求は、アクセスポイントにより受信され、
   前記ゲートウェイからセッションデータ失敗応答を受信した後に、前記アクセスポイントは、セッションデータを生成し、生成されたセッションデータを前記ゲートウェイに報告し、アソシエーション応答を前記無線クライアントに送信する方法。
9. 請求項６に記載の方法であって、
   以前に関連付けられたアクセスポイントにコマンドを送信するゲートウェイを有する新しいアクセスポイントに無線クライアントが関連付けられた後に、以前に関連付けられたアクセスポイントからセッション情報を除去し、
   所定の期間の無活動の後に、前記セッション情報を除去し、又はアイドル状態の無線クライアントのエントリーを自動的に除去することを有する方法。
10. 請求項６に記載の方法であって、
    前記ゲートウェイはアクセスポイントを認証し、前記ゲートウェイと前記アクセスポイントとの間の接続が信頼されることを確保する方法。
11. 請求項１０に記載の方法であって、
    前記認証が暗号化される方法。
12. アクセスポイントを有する有線ネットワークにおいて、ゲートウェイのプロセッサにより実行されると、
    （ａ）アクセスポイントから前記ゲートウェイへのセッションデータ要求を受信し、前記セッションデータは、各無線クライアント及び関連のアクセスポイントに関連付けられたセッションキーを有するステップと、
    （ｂ）前記ゲートウェイに格納されたセッションデータを検査し、セッションデータが見つからない場合にセッションデータ失敗を報告するステップと、
    （ｃ）セッションデータが見つかった場合、又は前記ゲートウェイにより生成された場合に、前記ゲートウェイから前記アクセスポイントにセッションデータ応答を送信するステップと、
    を実行する命令を有するコンピュータ読取可能媒体。
13. ネットワークにおいて無線アクセスポイントのプロセッサにより実行されると、
    無線クライアントからアソシエーション要求を受信するステップと、
    ゲートウェイからセッションデータ応答を受信した後に、セッションデータをロードし、前記セッションデータを前記無線局に送信し、前記セッションデータは、各無線クライアント及び関連のアクセスポイントに関連付けられたセッションキーを有するステップと、
    を実行する命令を有するコンピュータ読取可能媒体。
14. 請求項１３に記載のコンピュータ読取可能媒体であって、
    前記ゲートウェイからセッションデータ失敗応答を受信した後に、セッションデータを生成するステップと、前記ゲートウェイに生成されたセッションデータを報告するステップと、前記無線局にアソシエーション応答を送信するステップとを実行するコンピュータ読取可能媒体。
15. 請求項１３に記載のコンピュータ読取可能媒体であって、
    無線クライアントが新しいアクセスポイントに関連付けられた後に、以前に関連付けられたアクセスポイントからセッション情報を除去するステップと、
    所定の期間の無活動の後に、前記セッション情報を除去し、又はアイドル状態の無線クライアントのエントリーを自動的に除去するように、以前に関連付けられたアクセスポイントにコマンドを送信するステップと、
    を実行するコンピュータ読取可能媒体。
16. 請求項１３に記載のコンピュータ読取可能媒体であって、
    アクセスポイントを認証し、前記ゲートウェイと前記アクセスポイントとの間の接続が信頼されることを確保するステップを実行するコンピュータ読取可能媒体。
17. 請求項１６に記載のコンピュータ読取可能媒体であって、
    前記認証が暗号化されるコンピュータ読取可能媒体。

Images