JP4555235B2 - ネットワーク装置、無線ネットワークの使用方法及び無線ネットワーク・セキュリティ方法 - Google Patents

Description

本発明は、一般的な無線コンピュータ・ネットワークに関し、特に複数のセキュリティ・インターフェースを含んで構成された無線コンピュータ・ネットワークに関する。

近年、無線ローカル・エリア・ネットワーク（ＷＬＡＮｓ） が、有線ネットワーク又は標準的なローカル・エリア・ネットワーク（ＬＡＮ） の安価で有効な拡張を提供することが知られている。図１は、有線及び無線双方のコンポーネントを含む従来のネットワーク１００を図示するブロック図である。無線ルータ又はアクセス・ポイント（ＡＰ）１０２を使用することで、ネットワーク１００には、例えばサーバ１０４とローカル・クライアント１０６のような有線要素及び、例えば無線ネットワーク１１６を介してアクセス・ポイント（ＡＰ）１０２に接続されたクライアント装置１０８、１１０、１１２、１１４のような、無線要素が含まれてもよい。最近、無線ローカル・エリア・ネットワーク（ＷＬＡＮｓ）のほとんどの配置は、規制されていない２．４ＧＨｚ及び５ＧＨｚの周波数スペクトル上で作動する、様々な米国電気電子技術者学会（ＩＥＥＥ）の８０２．１１ｘ規格（例えば８０２．１１ｂ、８０２．１１ａ及び８０２．１１ｇ）に従っている。ファイアウォール１１８は、ネットワーク１００を保護し、また、インターネットから寄せられる無許可のトラフィックをかわすセキュリティ・ゲートの役割を果たすように実行されてもよい。

操作上、ネットワーク１１６に関連するサービス・セット識別子（ＳＳＩＤ）を選択するか、又はそうでなければサービス・セット識別子（ＳＳＩＤ）を特定することによって、クライアント装置１０８〜１１４は、無線ネットワーク１１６に接続してもよい。当該技術分野で知られているように、ネットワーク１１６を越えるトラフィックは、例えばワイヤード・エクイヴァレント・プライバシー（ＷＥＰ）又はワイーハイ・プロテクテッド・アクセス（ＷＰＡ）プロトコルのような、いくつかの利用可能なネットワーク層セキュリティ・プロトコルを使用して暗号化されてもよい。これらのプロトコルの一つが採用されていると仮定する場合、クライアント装置１０８〜１１４は、ネットワーク１００への接続が認められる前に、暗号鍵かパスワードを入力しなければならない。

残念ながら、一旦許可されると、ネットワーク１１６への接続は、クライアント装置の使用者に関連する個々のセキュリティ・レベルに拘わらず、ネットワーク１１６のＳＳＩＤ及び関連するパスワードを有する全てのクライアント装置１０８〜１１４に同一に認められる。従って、無線使用者ベースのより低いレベル（例えば、ＯＳＩネットワーク参照モデルの第２層）での区分化は不可能になり、その結果、ネットワーク１００にセキュリティを提供するために、より高いレベルのセキュリティ手順に対する信頼が必要とされる。

本発明においては、無線ネットワーク方法が提供される。上記方法は、ネットワーク装置によって各ネットワークが識別子を有する多数の無線ネットワークを確立し、上記ネットワーク装置で上記識別子を使用して上記無線ネットワークを介して無線ネットワーク・セッションを確立するためのクライアント装置からの要求を受信し、及び各無線ネットワーク・セッションを確立するために使用される上記識別子に基づいて上記クライアント装置のネットワーク特権を個別のインターフェースに区分することを特徴とする。

本発明においては、また、無線ネットワーク・セキュリティ方法が提供される。この方法は、無線ネットワーク識別子と事前に定められたセキュリティ・ポリシーとの対応関係を定義付け、上記無線ネットワーク識別子の一つを使って無線ネットワークに接続するためのクライアント装置からの要求を受信し、上記クライアント装置と無線ネットワーク・セッションを確立し、上記クライアント装置からの目的先リソースを有するネットワーク・トラフィックを受信し、及び、上記無線ネットワーク・セッションを確立するために使用される上記無線ネットワーク識別子と対応関係が定義付けられた上記事前に定義されたセキュリティ・ポリシーに基づいて上記ネットワーク・トラフィックでセキュリティ・プロセスを実行することを特徴とする。

本発明においては、さらに、無線ネットワーク装置が提供される。上記無線ネットワーク装置は、各個別の無線ネットワーク・インターフェースが関連する識別子を有する個別の無線ネットワーク・インターフェースを提供するように構成されたネットワーク装置であって、上記ネットワーク装置は上記識別子と多数のセキュリティ・ゾーンとの対応関係を定義付けるように構成され、上記ネットワーク装置は上記識別子に基づいてクライアント装置と無線ネットワーク・セッションを確立するように構成され、及び上記ネットワーク装置は、各無線ネットワーク・セッションを確立するために使用される上記識別子と関連する上記セキュリティ・ゾーンに基づいて上記クライアント装置のセキュリティ特権を区分するように構成される。

本発明によれば、多数の個別のＳＳＩＤに基づいて、無線ネットワークに接続するクライント装置を区分することによって、強化された無線ネットワーク・セキュリティを提供する。この様に、本発明の原理と一致するシステムは、ネットワーク化されたクライアント装置のための専ら高いレベルでのセキュリティに依存するのではなく、より低くより安全なレベルで実質的に改善されたセキュリティを提供する。

添付図面を参照して、本発明の実施例を以下に詳細に説明する。異なった図面の同じ参照番号は、同一又は同様の要素を表す。また、本発明は、以下の詳細な説明には限定されない。

ここに説明されるように、ネットワーク装置は多数の特有の識別子を介して一つ以上の無線ネットワークへの接続を提供する。その時、例えば、関連するセキュリティ・ゾーンに応じて処理される特有の識別子を介してクライアント装置が無線ネットワークに接続するように、それぞれの特有の識別子は、セキュリティ・ゾーンと関連するか又はセキュリティ・ゾーンとの対応関係が定義付けされる。

図２は、本発明にかかるシステム及び方法の実施例が実行される典型的なシステム２００を図示する。図示されるように、システム２００には、ネットワーク装置２０２、多数の無線ネットワーク２０６、２０８、２１０及び２１２によってネットワーク装置２０２と接続したクライアント装置２０４ａ、２０４ｂ、２０４ｃ及び２０４ｎ（集団としてクライアント装置２０４）のグループが含まれる。その時、ネットワーク装置２０２は、それぞれのクライアント装置２０４と、いずれかが繋げられたネットワーク２０６〜２１２上のセキュリティ・ゾーン２１４、２１６、２１８、２２０の一つ以上との対応関係を定義づけられる。本発明によれば、以下で詳細に追加説明されるように、ゾーン２１４〜２２０には伝統的な有線の装置又はネットワークが組み込まれてもよい。また、ネットワーク装置２０２は、例えば外部ネットワークやインターネットのような信頼できないネットワークと接続されてもよい。

本発明においては、ネットワーク装置２０２は、無線アクセス・ポイントとネットワーク・ファイアウォール機能性の両方を提供するように構成されてもよい。より具体的には、ネットワーク装置２０２は、複数の個別の無線ネットワークを提供し、かつ、各ネットワーク間におけるポリシー決定及びファイアウォール決定を実行するように構成されてもよく、その結果実質的に、システム２００のセキュリティを向上させる。図２で図示するように、本発明の原理と一致する一実施例において、ネットワーク装置２０２は、それぞれが個別の関連するＳＳＩＤを有する４つの個別の無線ネットワーク２０６〜２１２を提供するように構成されてもよい。更に、各無線ネットワーク２０６〜２１２は、独自の単一のセキュリティ・ゾーン２１４、２１６、２１８又は２２０との対応関係が定義付けされてもよい。この様に、各ネットワーク２０６〜２１２は、異なるレベルのセキュリティ保護を提供するように構成されてもよい。個別のネットワーク２０６〜２１２を提供することによって、ネットワーク装置２０２は、その各々がセキュリティの見地から完全に構成可能な複数のセキュリティ・インターフェースを、ネットワーク２００に提供する。

四つの個別のクライアント装置２０４が示されたが、図２に図示されたクライアント装置２０４の台数及び型は容易に提供されることが理解される。実際上、典型的なシステムは、クライアント装置２０４のどんな台数及び型を含んでもよい。更に、４つのゾーン・セキュリティ・システムについて説明したが、本発明はまた、システム内で物理的又は論理的のいずれかによって構成された複数ゾーンを含んでいて、４以上又は未満の個別のセキュリティ・ゾーンを有するシステムにおいて実施されてもよい。その上、実施例として４つの無線ネットワーク２０６〜２１２が示されているが、４つ以上又は４つ未満の無線ネットワークが、本発明の原理に従って実施されてもよい。クライアント装置２０４は、例えばパーソナル・コンピューター、ラップトップ・コンピューター、或いはネットワーク２０６〜２１２及び２２２を介して、データ通信及び音声通信或いはデータ通信又は音声通信を、開始し、送信し、受信することができる他の装置を含んでもよい。

本発明の原理と一致する一実施例においては、ネットワーク装置２０２は、無線ネットワーク・トラフィックの送信及び受信が可能で、送信・受信された無線ネットワーク・トラフィックにセキュリティ・ポリシーを適用できる、ハードウェアとソフトウェアのいかなる組み合わせを含んでもよい。以下の付加的な詳細に記述されるように、本発明の原理と一致する一実施例においては、ネットワーク装置２０２は、多数の異なるＳＳＩＤを使用して無線ネットワーク・トラフィックを送信し、受信するように構成されてもよい。この実現においては、各ＳＳＩＤはセキュリティ・ゾーンと関連する。その時、ネットワーク装置は、使用されるＳＳＩＤと関連するセキュリティ・ゾーンに基づいて、トラフィックにセキュリティ・ポリシーを適用してもよい。

信頼できないネットワーク２２２は、例えば、インターネット、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、あるいはソース装置から目的先装置にデータ通信を送信することができる別の型のネットワークの一つ以上のネットワークを含んでもよい。

図３は、本発明の一実施例の図２におけるネットワーク装置２０２の典型的構成例である。クライアント装置２０４が、同様に構成されてもよいことが理解されるでしょう。図示のとおり、ネットワーク装置２０２には、バス３１０、処理ロジック３２０、特定用途向け集積回路（ＡＳＩＣ）３３０、メモリ３４０及び一群の通信インターフェース３５０、が含まれてもよい。バス３１０は、ネットワーク装置２０２のコンポーネント間の通信を可能にする。

処理ロジック３２０には、命令を解釈して実行するどんな型の在来型のプロセッサあるいはマイクロプロセッサが含まれてもよい。特定用途向け集積回路（ＡＳＩＣ）３３０には、ネットワーク関連機能を実行できる一つ以上の特定用途向け集積回路（ＡＳＩＣ）が含まれてもよい。より明確に、一実施例においては、特定用途向け集積回路（ＡＳＩＣ）は機能性と関連してセキュリティ及びアクセス・ポイントを実行してもよい。

メモリ３４０には、ランダム・アクセス・メモリ（ＲＡＭ）又は情報または処理ロジック３２０によって実行される命令を記憶する別の型のダイナミックメモリ、リード・オンリー・メモリ（ＲＯＭ）又はスタティックに情報または処理ロジック３２０によって使用される命令を記憶する別の型のスタティックメモリ、及び（あるいは、又は）数個の別の型の磁気記憶媒体又は光学式記憶媒体とそれに対応する駆動装置、が含まれてもよい。通信インターフェース３５０には、クライアント装置２０４及びネットワーク２０６〜２１２及び２２２と関連する装置のような、他の装置及び（あるいは、又は）システムとネットワーク装置２０２との通信を可能にするどんなトランシーバのようなメカニズムが含まれてもよい。

以下で詳細に説明されるように、本発明のネットワーク装置２０２は、操作関連のネットワーク通信を実行してもよい。ネットワーク装置２０２は、これらの操作、及び、例えばメモリ３４０のようなコンピュータ読み込み可能媒体に含まれていたソフトウェア命令の処理ロジック３２０による実行に応じた他の操作、を実行してもよい。コンピュータ読み込み可能媒体は、一つ以上のメモリ素子と搬送波、あるいは、一つ以上のメモリ素子又は搬送波でもよい。

ソフトウェア命令は、別のコンピュータ読み込み可能媒体又は通信インターフェース３５０を介して他の装置から、メモリ３４０に読み込まれてもよい。メモリ３４０に含まれたソフトウェア命令は、処理ロジック３２０に後述される処理を実行させてもよい。あるいはまた、物理的に組み込まれた回路は、本発明の原理と一致する処理を実行するソフトウェア命令の代わりに、又はそのソフトウェア命令と一緒に使用されてもよい。

上述のとおり、ネットワーク装置２０２は、複数の無線セキュリティ・ゾーンの確立を可能にし、交換可能なゾーン間でのネットワーク・トラフィックの交換を容易にする。図４は、無線ネットワーク・セッションを確立する処理と、確立されたセッションを使用したネットワーク・トラフィックの次の取扱の一実施例を図示した典型的なフローチャートである。ネットワーク装置２０２は、最初に各ネットワーク２０６〜２１２が関連する個別の識別子を有する多数の無線ネットワーク２０６〜２１２を確立するために構成される（ステップ４００）。典型的な一実施例において、上記識別子はサービス・セット識別子（ＳＳＩＤ）を含む。当該技術分野で知られているように、ネットワーク装置２０２は、更に、クライアント装置２０４と交換可能なネットワーク２０６〜２１２の存在を発表するために、一以上のサービス・セット識別子（ＳＳＩＤ）をブロードキャスト伝送するように構成されてもよい。あるいは、ネットワーク装置２０２は、ネットワーク・セッションを取り決める前に、クライアント装置２０４によってサービス・セット識別子（ＳＳＩＤ）の明示的な識別を要求するように構成されてもよい。この第２の方法は、そうでなければ上記ネットワークＳＳＩＤに関与していないクライアント装置に対し、ネットワーク２０６〜２１２の識別を防ぐ。

一旦無線ネットワーク２０６〜２１２が確立されると、各ネットワーク２０６〜２１２は、それぞれその関連するＳＳＩＤを通じて、多数のセキュリティ・ゾーン２１４〜２２０の一つと対応関係が定義付けされる（ステップ４０２）。以下の追加的な詳細に記述されるように、異なるＳＳＩＤを通じてネットワーク装置２０２に接続された、クライアント装置２０４から受信されたネットワーク・トラフィックが、異なるセキュリティ・ポリシー又は認証基準に従うように、各セキュリティ・ゾーンは、ポリシー・ベースの制御の異なったレベルを実行してもよい。例えば、第１セキュリティ・ゾーン２１４は、クライアント装置２０４と関連し，その上で、信頼できるネットワーク・リソース （例えば、企業ＬＡＮのデータベースあるいはフォルダー）への接続を可能にし、信頼できないネットワーク・リソース（例えば、一般的なウェブ・サイト）への接続を防ぐように構成されてもよい。あるいは、第２セキュリティ・ゾーン２１６は、クライアント装置２０４と関連し、その上で、信頼できないネットワーク・リソースにのみ接続可能なように構成されてもよい。この様に、第二ゾーン２１６は、データ・リンク・レベル（例えば、ＯＳＩ参照モデルの第２層）で信頼できるネットワーク・リソースから効果的に仕切られたゲスト・ゾーンと見なされてもよい。

一旦無線ネットワーク２０６〜２１２がセキュリティ・ゾーン２１４〜２２０と対応関係を定義付けられると、ネットワーク装置２０２は、クライアント装置からの接続要求に準備ができている（ステップ４０４）。例えば、図２に図示されたクライアント装置２０４ａは、ステップ４００においてネットワーク２０６と関連するＳＳＩＤに従うかそうでなければ選択することによって、ネットワーク２０６への接続を要求してもよい。接続要求に応じて、ネットワーク装置２０２は、ネットワーク２０６に関連するいかなる無線ネットワーク・レベル認証又は個人考察（例えば、ワイヤード・エクイヴァレント・プライバシー（ＷＥＰ）又はワイ−ハイ・プロテクテド・アクセス（ＷＰＡ）の暗号鍵等）を実行してもよい（ステップ４０６）。ネットワーク・レベル（ＯＳＩ参照モデル第３層）認証又は個人情報が、クライアント装置２０４ａによって適切に提供されれば、ネットワーク装置２０２は、クライアント装置２０４ａとの無線ネットワーク・セッションを確立してもよい（ステップ４０８）。

一旦セッションが確立されると、ネットワーク装置２０２は、無線ネットワーク４０６を介して、例えば別のコンピュータ又はサーバ（例えば、ウェブ・サーバ）、ネットワーク化された記憶装置等の、特定のネットワーク・リソースに向けられたクライアント装置２０４ａからのネットワーク・トラフィックを受信してもよい（ステップ４１０）。上で議論するように、受信されたネットワーク・トラフィックのためのソース・ゾーンは、上記ネットワーク・セッションを確立するために使用されるＳＳＩＤに基づいて決定される。より一般的な用語では、クライアント装置２０４ａからのネットワーク・トラフィックの受信には、指示が要求されたサービス又はプロトコルの型（例えば、５組のパケット）と見なされるように、パケット又はソースと目的先アドレスとポートを明示する他のデータの一団を受信することが包含されてもよい。上記パケット内に含まれた情報（例えば、上記目的先ＩＰアドレス及びポート、あるいは、上記目的先ＩＰアドレス又はポート）を検討することにより、ネットワーク装置２０２は、上記パケットと関連する上記目的先ゾーンを識別してもよい。その時、上記目的先ゾーンは、上記トラフィックの上記ソース・ゾーンと組み合わされて、適用される上記セキュリティ・ポリシーを識別するために使用される。例えば、クライアント装置２０４ａは、セキュリティ・ゾーン２１６内の有線ネットワーク接続（例えば、イーサネット（登録商標）接続）によってネットワーク装置２０２と接続されたデータベースとの接続を要求してもよい。クライアント装置２０４ａに利用可能な各ネットワーク・リソースが、セキュリティ・ゾーン２１４〜２２０の一つ、又は信頼できないネットワーク２２２と関連するが理解される。更に、５組のパケットに加えて、適切なパケット情報ならどれでも、目的先ゾーン及びトラフィックに適用された処理、あるいは、目的先ゾーン又はトラフィックに適用された処理を、識別するために利用されてもよいことが理解される。

上記ネットワーク・トラフィックを受け取り次第、ネットワーク装置２０２は、セキュリティ・ポリシー検索を実行してもよく（ステップ４１２）、上記要求及び上記要求されたネットワーク・リソースの上記適切なセキュリティ・ゾーンを作りながら、上記クライアント装置２０４と関係する上記セキュリティ・ゾーンに基づいて、どんな識別されたネットワーク・セキュリティ・ポリシー又は他のネットワーク処理が適用されてもよい（ステップ４１４）。現在の例において、既にクライアント装置２０４ａがネットワーク２０６を介してネットワーク装置２０２と無線ネットワーク・セッションを確立し、希望のデータベースがゾーン２１６内にあるので、第２セキュリティ・ゾーン２１６内のリソースのための第１セキュリティ・ゾーン２１４からの要求に基づいたセキュリティ・ポリシーが適用される。

セキュリティ・ポリシーの追加例は、例えば、仮想プライベート・ネットワーク（ＶＰＮ）接続、ＩＰＳｅｃトンネル又は同様の暗号化手順或いは同様の認証手順の確立のような、暗号化又は認証の追加レベルを含んでもよい。その上、上記ポリシー・プロセスは、例えば、ネットワーク・アクセス上で、ＵＲＬフィルタリング又は他の内容に基づく規制などの、追加の機能を更に実行してもよい。セキュリティ・ベースの処理に加えて、例えば情報翻訳のような追加的な情報処理が、ネットワーク装置２０２によって実効されてもよい。例えば、入力パケットは、出力パケット或いは送信データ・パケット中の様々な情報を修正するような、翻訳されたネットワーク・アドレス又は翻訳されたポートであってもよい。

この時点で、上記適用されたセキュリティ・ポリシーは、上記要求されたリソースへの上記接続を許可するかどうかを決定する（ステップ４１６）。もしそうなら、上記接続は許可される（ステップ４１８）。しかしながら、もし上記適用されたセキュリティ・ポリシーが上記要求されたリソースへの接続を許可しなければ、接続は否定される（ステップ４２０）。

当該技術分野で知られているように、クライアント装置２０４とネットワーク装置２０２との間で無線ネットワーク・セッションが確立される際、通常、クライアント装置２０４には上記ネットワークに関連するＩＰアドレスが割り当てられる。多くの実現において、この割り当ては、ネットワーク装置２０２に関連する（図示されない）動的ホスト構成プロトコル（ＤＨＣＰ）サーバによって行われる。本発明の原理と一致する一実施例においては、上記動的ホスト構成プロトコル（ＤＨＣＰ）サーバは、様々な基準（例えば、媒体アクセス制御（ＭＡＣ）アドレス、物理ロケーション、装置の型等）に基づいて、クライアント装置に対してＩＰアドレスの異なる範囲を適用するように構成されてもよい。例えば、ネットワーク・セッションを確立するクライアント装置２０４ａには、１０．１２．２．１０〜１０．１２．２．４０の範囲のＩＰアドレスが割り当てられてもよく、一方、クライアント装置２０４ｂには、１０．１２．２．４１〜１０．１２．２．１００の範囲のＩＰアドレスが割り当てられてもよい。この様に、割り当てられたＩＰアドレスは、装置といくつかのセキュリティ・ゾーンとの対応関係を定義付けるのに使用されてもよい。

図５は、ネットワーク・セッションを確立するための処理と、上記確立されたセッションを使用するネットワーク・トラフィックのその後の取扱の一実施例、を図示した別の典型的なフローチャートである。図５において、上記ネットワーク装置は、最初に単一のＳＳＩＤを有する無線ネットワークを確立ように構成されてもよい（ステップ５００）。

一旦上記無線ネットワークが確立されると、上記ネットワーク装置と関連する動的ホスト構成プロトコル（ＤＨＣＰ）サーバは、上記個々のクライアント装置に関連する様々な基準に基づいて、特有のＩＰアドレス・レンジを割り当てるように構成されてもよい（ステップ５０２）。本発明の原理と一致する一実施例においては、各ＩＰアドレス・レンジは、多数のセキュリティ・ゾーンの一つと対応関係が定義付けられてもよい（ステップ５０４）。以下の追加的な詳細で記述されるように、異なるＩＰアドレス・レンジを通じてネットワーク装置に接続された、クライアント装置から受信されたネットワーク・トラフィックが、異なるセキュリティ・ポリシー及び他の認証基準に従うように、各セキュリティ・ゾーンは、ポリシー・ベースの制御の異なったレベルを実行してもよい。例えば、第１ＩＰアドレス・レンジは、クライアント装置と関連し、そのうえで、信頼できるリソース（例えば、企業ＬＡＮ内のデータベース又はフォルダー）とは接続でき、信頼できないリソースとは接続を妨げることができるように構成されてもよい。或いは、第２ＩＰアドレス・レンジは、クライアント装置と関係し、そのうえで、信頼できないネットワーク・リソースにのみ接続できるように構成されてもよい。この様に、上記第２ＩＰアドレス・レンジは、事実上これらのクライアント装置をデータ・リンク・レベル（例えば、ＯＳＩ参照モデルの第２層）で信頼できるネットワーク・リソースから区分するように、「ゲスト」の地位を有するクライアント装置に割り当てられてもよい。

一旦、上記様々なＩＰアドレス・レンジが上記セキュリティ・ゾーンと関係すると、上記ネットワーク装置はクライアント装置からの接続要求を受信する準備ができている（ステップ５０６）。例えば、クライアント装置は、行為５００において上記ネットワークと関係した上記ＳＳＩＤに従い、又は、そうでなければ選択することによって、上記ネットワークへの接続を要求してもよい。上記接続要求に応じて、上記ネットワーク装置は、上記ネットワークと関係するどんな無線ネットワーク・セキュリティ（例えば、ＷＥＰ又はＷＰＡの暗号鍵等）を実行してもよい（ステップ５０８）。クライアント装置によって、上記ネットワーク層（ＯＳＩ参照モデルの第３層）のセキュリティ情報が適切に提供されれば、上記ネットワーク装置はクライアント装置と無線ネットワーク・セッションを確立してもよい（ステップ５１０）。

一旦セッションが確立されれば、上記ネットワーク装置は、例えば、他のコンピュータ又はサーバ（例えば、ウェブ・サーバ）又は上記無線ネットワークを介してネットワーク化された記憶装置等の特別のネットワーク・リソースに向けられた、上記クライアント装置からのネットワーク・トラフィックを受信してもよい（ステップ５１２）。上述のように、ソース・ゾーンは、上記クライアント装置に割り当てられた上記ＩＰアドレスに基づいて上記トラフィックに割り当てられる。上記パケット中の上記情報を検討することで、上記ネットワーク装置は、上記トラフィックと関係した上記目的先ゾーンを識別してもよい。例えば、上記割り当てられたＩＰアドレス（第１ゾーンと対応関係が定義付けられた）の第１レンジ内の最初のＩＰアドレスを有する上記クライアント装置は、割り当てられたＩＰアドレス（第２ゾーンと対応関係が定義付けられた）の第２レンジ内のＩＰアドレスを有し有線ネットワーク接続（例えば、イーサネット（登録商標）接続）によって上記ネットワーク装置と接続された、データベースとの接続を要求してもよい。上記クライアント装置に利用可能な各ネットワーク・リソースは、上記様々な事前に決定されたＩＰアドレス・レンジ内の特有のＩＰアドレスに割り当てられ、それによって、上記ネットワーク・リソースと関連している上記セキュリティ・ゾーンが指定されるのが理解されるでしょう。

上記ネットワーク・トラフィックを受け取り次第、上記ネットワーク装置は、上記識別されたソースと目的先セキュリティ・ゾーンに基づいて、セキュリティ・ポリシー検索を実行してもよく（ステップ５１４）、どんな識別されたネットワーク・セキュリティ・ポリシーを適用してもよい（ステップ５１６）。現在の例では、第２ＩＰアドレス・レンジ内の一つのＩＰアドレスを有するリソースに接続するための、第１ＩＰアドレス・レンジ内の一つのＩＰアドレスが割り当てられたクライアント装置からの要求に基づいたセキュリティ・ポリシーが適用される。

この時に、上記適用されたセキュリティ・ポリシーは、上記ネットワーク・トラフィックが上記要求されたリソースへ通過することを許可するかどうか決定する（ステップ５１８）。決定されれば、上記トラフィックは、通過する（ステップ５２０）。しかしながら、上記適用されたセキュリティ・ポリシーが、上記トラフィックの通過を許可しなければ、接続は拒否される（ステップ５２２）。個別のＩＰアドレス・レンジを個々のセキュリティ・ゾーンと対応関係を定義づけることで、クライアント装置のセキュリティ・レベルに関する情報は、上記ネットワークを通じたパケット通過の至る所でパケットと関係してもよい。

図６は、本発明のシステム及び方法の実施例が実行される典型的システム６００を図示している。図示のとおり、システム６００はネットワーク装置６０２、及び無線接続６０８及び６１０によってネットワーク装置６０２と接続されたクライアント装置６０４及び６０６を含んでもよい。さらに、有線ネットワーク・リソース６１２、６１４及び６１６は、有線接続６１８及び６２０によって同様にネットワーク装置６０２に接続される。各クライアント装置６０４及び６０６とネットワーク・リソース６１２〜６１６は４つのセキュリティ・ゾーン６２２、６２４、６２６及び６２８のうちの一つと関係する。本発明の方法では、クライアント装置６０４と６０６の上記セキュリティ・ゾーンの連携は、上記クライアント装置が接続されている無線接続６０８又は６１０のいずれかに基づいてもよい。有線ネットワーク・リソース６１２〜６１６のためのセキュリティ・ゾーンの連携は、伝統的なセキュリティ・プロセスに基づいてもよい。ネットワーク装置６０２も同様に、例えば、外部ネットワーク又はインターネットのような、信頼できないネットワーク６３０に接続されてもよい。

現在の実施においては、ネットワーク装置６０２は、クライアント装置６０４から、第１のパケットはデータベース・サーバ６１２に向けられ（矢印６３２によって表されている）第２のパケットはウェブ・サーバ６１４に向けられている（矢印６３４によって表されている）２パケットを受信する。本発明に従って、パケットを受信次第、ネットワーク装置６０２は、第２ゾーンをソースとし第４ゾーンを目的先とするパケットに関係するポリシー検索を実行してもよい。上記ポリシー検索は、第２ゾーン６２４内のクライアント装置６０４が、データベース・サーバ６１２とは接続され、ウェブ・サーバ６１４とは接続されないことを明らかにしてもよい。同様に、信頼できないゾーン６３０内のインターネット・リソースを要求する（矢印６３６で表されている）第１ゾーン６２２内のクライアント装置６０６からのパケットを受け取り次第、ネットワーク装置６０２は、そのようなパケットが、ネットワーク装置６０２と接続するためにクライアント装置６０６に関連する上記ソース・セキュリティ・ゾーンに基づいて許可されるかを決定してもよい。

本発明の典型的な実施例の先の記述は、図示及び記述により提供されるが、網羅的であること、又は明らかにされた正確な書式に本発明を制限すること、を意味するものではない。変更等は、上記の教えに照らして可能であるし、本発明の実施を通じて習得されてもよい。

その上、一連のステップは図４及び５に関係して明らかにされているが、ステップの順番は、本発明の他の実施態様において変化してもよい。さらに、非依存的なステップは並行して実行されてもよい。

上述のように、本発明の局面が、図面に図示された実現の中の多くの異なった形式のソフトウェア、ファームウェア及びハードウェアにおいて実行されてもよいことが、当該技術分野における通常の技能の一つであることは明らかである。本発明を実行するために使われる実際のソフトウェア・コード又は専用の制御ハードウェアは、本発明においては制限されていない。従って、本発明の効果と作用は、特定のソフトウェア・コードを参照することなく記述されているため、本記述に基づいて、実施をするためにソフトウェアを設計しハードウェアを制御することを可能にすることは、当該技術分野の通常の技能の一つである。

さらに、本発明のある部分は、１以上の機能を提供する「ロジック」として実現されてもよい。このロジックは、特定用途向け集積回路（ＡＳＩＣ）又はフィールド・プログラム可能なゲート・アレイの様なハードウェア、ソフトウェア、又はハードウェアとソフトウェアの組み合わせを含んでもよい。局面は処理メッセージ又はパケットの点から記述されているが、これらの局面は、パケットデータや非パケットデータを含むデータのいかなる型や形式で作動してもよい。上記「データ・ユニット」という用語は、パケットデータ或いは非パケットデータを示してもよい。

は、従来のコンピュータ・ネットワークを図示する一般的なブロック図である。 は、本発明のシステム及び方法のいずれかにおいて実行される典型的なシステムを図示している。 は、本発明の原理と一致する一実施例における、ネットワーク装置の典型的構成を図示している。 は、無線ネットワーク・セッションを確立し、ネットワーク・トラフィックを扱うための処理の一つの実現を図示する典型的なフローチャートである。 は、無線ネットワーク・セッションを確立し、ネットワーク・トラフィックを扱うための処理の別の実現を図示する典型的なフローチャートである。 は、本発明のシステム及び方法のいずれかにおいて実行される別の典型的なシステムを図示している。

符号の説明

ネットワーク：１００、２０６、２０８、２１０、２１２
ルータ又はアクセス・ポイント：１０２
サーバ：１０４
ローカル・クライアント：１０６
クライアント装置：１０８、１１０、１１２、１１４、２０４ａ、２０４ｂ、２０４ｃ、２０４ｎ、６０４、６０６
無線ネットワーク：１１６
ファイアウォール：１１８
インターネット：１２０
システム：２００、６００
ネットワーク装置：２０２、６０２
セキュリティ・ゾーン：２１４、２１６、２１８、２２０、６２２、６２４、６２６、６２８
信頼できないネットワーク：２２２、６３０
バス：３１０
処理ロジック：３２０
特定用途向け集積回路（ＡＳＩＣ）：３３０
メモリ：３４０
通信インターフェース：３５０
無線接続：６０８、６１０
ネットワーク資源：６１２、６１４、６１６
有線接続：６１８、６２０

Claims (11)

1. ネットワーク装置によって各ネットワークが識別子を有する多数の無線ネットワークを確立し、
   前記識別子と、複数の異なるセキュリティ・ゾーンとの間の対応関係を定義付け、
   前記ネットワーク装置で前記識別子を使用して前記無線ネットワークを介して無線ネットワーク・セッションを確立するためのクライアント装置からの要求を受信し、
   前記要求に基づいて前記クライアント装置を認証し、
   認証に成功した場合に前記クライアント装置と前記無線ネットワーク・セッションを確立し、
   前記無線ネットワーク・セッションの間に前記クライアント装置から目的先アドレスを含むネットワーク・トラフィックを受信し、
   前記目的先アドレスを使用して前記セキュリティ・ゾーンの中から目的先セキュリティ・ゾーンを識別し、
   前記識別子に基づき前記クライアント装置のうちの１つと関連するソース・セキュリティ・ゾーンを前記セキュリティ・ゾーンのうちから識別し、
   前記目的先セキュリティ・ゾーンに適用される第１のセキュリティ・ポリシーを識別するために、かつ、前記ソース・セキュリティ・ゾーンに適用される前記第１のセキュリティ・ポリシーとは異なる第２のセキュリティ・ポリシーを識別するために、セキュリティ・ポリシー検索を実行し、
   識別された前記第１のセキュリティ・ポリシーと識別された前記第２のセキュリティ・ポリシーとに基づき前記ネットワーク・トラフィックにセキュリティ・プロセスを実行し、
   前記セキュリティ・プロセスの結果に基づいて、前記ネットワーク・トラフィックを前記目的地セキュリティ・ゾーンへ選択的に送信する
   ことを特徴とする無線ネットワークの使用方法。
2. 前記識別子がサービス・セット識別子（ＳＳＩＤ）である、請求項１記載の無線ネットワークの使用方法。
3. 請求項１記載の無線ネットワークの使用方法において、
   セキュリティ・プロセスには、前記ネットワーク・トラフィックが前記クライアント装置のうちの１つへ通過するのを許可するかどうかを決定することを含むことを特徴とする無線ネットワークの使用方法。
4. 請求項１記載の無線ネットワークの使用方法において、
   セキュリティ・プロセスの実行には事前に定められた前記クライアント装置のうちの１つへの接続を無効にするためのユニフォーム・リソース・ロケーター（ＵＲＬ）フィルタリングを含むことを特徴とする無線ネットワークの使用方法。
5. 請求項１記載の無線ネットワークの使用方法において、
   セキュリティ・プロセスを実行することにはネットワーク・アドレス変換を実行することを特徴とする無線ネットワークの使用方法。
6. 請求項１記載の無線ネットワークの使用方法において、
   前記クライアント装置に割り当てるために、前記識別子と個別のインターネット・プロトコル（ＩＰ）・アドレス・レンジとの対応関係を定義づけ、及び
   各無線ネットワークを確立するために使用される一個の識別子に関連する前記個別のＩＰアドレス・レンジに基づき前記クライアント装置のセキュリティ特権を区分することを特徴とする無線ネットワークの使用方法。
7. 請求項６記載の無線ネットワークの使用方法において、
   ネットワーク・リソースに接続するためのクライアント装置からの要求を受信し、
   前記クライアント装置に関連するソースＩＰアドレスを識別し、
   前記要求されたネットワーク・リソースに関係する個別のＩＰアドレスを識別し、及び
   前記識別されたソースＩＰアドレス及び目的先ＩＰアドレスに基づいて前記要求においてセキュリティ・プロセスを実行することを特徴とする無線ネットワークの使用方法。
8. 請求項１記載の無線ネットワークの使用方法において、
   前記無線ネットワーク・セッションを確立する前に前記クライアント装置においてネットワーク・レベル認証を実行することを特徴とする無線ネットワークの使用方法。
9. ネットワーク・セキュリティを提供するためのネットワーク装置であって、
   各個別の無線ネットワーク・インターフェースが関連する識別子を有する無線ネットワーク・インターフェースを提供する手段と、
   前記識別子と、異なるセキュリティ・ゾーンとの対応関係を定義付ける手段と、
   前記識別子に基づいてクライアント装置と無線ネットワーク・セッションを確立する手段と、
   各無線ネットワーク・セッションを確立するために使用される前記識別子との一つと関連する前記セキュリティ・ゾーンに基づいて前記クライアント装置のセキュリティ特権を区分する手段と、
   前記クライアント装置からのネットワーク・リソースに接続するための要求を受信する手段と、
   前記クライアント装置と関連するソース・セキュリティ・ゾーンを識別する手段と、
   前記要求されたネットワーク・リソースの目的先セキュリティ・ゾーンを識別する手段と、
   前記目的先セキュリティ・ゾーンに適用される第１のセキュリティ・ポリシー及び前記ソース・セキュリティ・ゾーンに適用される第１のセキュリティ・ポリシーとは異なる第２のセキュリティ・ポリシーを識別するためにセキュリティ・ポリシー・検索を実行する手段と、
   前記第１のセキュリティ・ポリシー及び第２のセキュリティ・ポリシーに基づいて前記要求においてセキュリティ・プロセスを実行する手段と、
   を含むネットワーク装置。
10. 請求項９記載の前記ネットワーク装置であって、
    前記ネットワーク装置は前記識別子が個別のインターネット・プロトコル（ＩＰ）アドレス・レンジを構成し、
    前記個別のＩＰアドレス・レンジとセキュリティ・ゾーンとの対応関係を定義付ける手段と、及び
    前記個別のＩＰアドレス・レンジとの対応関係が定義づけられた前記セキュリティ・ゾーンに基づいて、前記クライアント装置のセキュリティ特権を区分する手段と、を含むネットワーク装置。
11. 請求項１０記載のネットワーク装置であって、
    ネットワーク・リソース、前記ネットワーク・リソースにおいては前記クライアント装置に割り当てられた前記個別のＩＰアドレス・レンジがソース・セキュリティ・ゾーンと関連している、に向けられたクライアント装置からのネットワーク・トラフィックを受信する手段と、
    前記ネットワーク・リソース、前記ネットワーク・リソースにおいては目的先ＩＰアドレスは目的先セキュリティ・ゾーンと関連している、と関連する目的先ＩＰアドレスを識別する手段と、及び
    前記識別されたソース・セキュリティ・ゾーン及び目的先・セキュリティ・ゾーンに基づいて前記要求においてセキュリティ・プロセスを実行する手段と、をさらに含むネットワーク装置。