ES3028633T3 - Method for connecting a communication node, and corresponding communication node - Google Patents

Abstract

La invención se refiere a un método para conectar un nodo de un sistema de extensión de cobertura de comunicaciones inalámbricas. El nodo determina (S200) si se ha movido fuera de una red de área local inicial. Si se ha movido, se configura una red de área local (S210) a partir del nodo movido mediante la activación de una función de servidor de direcciones. El nodo movido se conecta entonces (S220) a un punto de acceso a internet. A continuación, se configura un túnel seguro (S230) entre el nodo movido y un nodo maestro que coordina la red de área local inicial. Finalmente, se desactiva la función de servidor de direcciones y se activa una función de cliente de un servidor de direcciones de la red de área local inicial (S240). (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN

Procedimiento de conexión de un nodo de comunicación, y nodo de comunicación correspondiente

Campo técnico

Al menos una realización se refiere a un procedimiento de conexión de un nodo de un sistema de extensión de cobertura de comunicación inalámbrica. Al menos una realización se refiere a un nodo de comunicación que implementa dicho procedimiento.

Estado de la técnica

En las redes locales LAN ("Local Area Network" en inglés), los sistemas de extensión de cobertura de comunicaciones inalámbricas pueden utilizarse para aumentar el alcance de estas LANs mediante la coordinación de múltiples puntos de acceso<a>P (“Access Point" en inglés) distribuido. Estos distintos AP están integrados en nodos de comunicación, en lo sucesivo denominados simplemente nodos, que están interconectados por una subred de encaminamiento o suministro (“backhaul subnetwork” en inglés) y todos ellos proporcionan una única red local inalámbrica WLAN (”Wireless Local Area Network” en inglés). Con la tecnología Wi-Fi (marca registrada), todos estos puntos de acceso AP utilizan el mismo identificador SSID (“Service Set IDentifier” en inglés) y contraseña (también conocida como clave de seguridad). Esto significa que la extensión de la cobertura de las comunicaciones inalámbricas es transparente para los dispositivos conectados a la WLAN. La solicitud de patente US2017/272273 A1 divulga un sistema WLAN con una función de integración, "on-boarding", para nuevos nodos.

LaFig. 1ilustra esquemáticamente un sistema de comunicación que comprende un sistema de extensión de cobertura de comunicación inalámbrica construido en torno a una subred de encaminamiento que tiene un conjunto de nodos interconectados N1 121, N2 122, N3 123. Así, cada nodo N1 121, N2 122, N3 123 de la subred de encaminamiento comprende una pluralidad de interfaces de radio:

• una interfaz de radio "AP-BH" (por “Access Point Backhaul” en inglés) correspondiente a una interfaz de punto de acceso de la subred de encaminamiento,

• una interfaz de radio “ST-BH” (por “Station Backhaul” en inglés) correspondiente a una interfaz de cliente en la subred de encaminamiento,

• una interfaz radio "AP-FH" (por “Access Point Fronthaul” en inglés) correspondiente a una interfaz de punto de acceso de la red de área local LAN1, interfaz dedicada a la asociación de estaciones o terminales.

Como parte de la tecnología Wi-Fi (marca registrada), todos estos puntos de acceso AP-FH utilizan por tanto el mismo SSID y contraseña. La zona de cobertura de la red local LAN1 así formada en torno al sistema de extensión de cobertura de comunicación inalámbrica se amplía entonces de forma transparente para cada terminal o estación conectada a él.

Los nodos N1 121, N2 122, N3 123 de la subred de encaminamiento están conectados entre sí utilizando una estructura de árbol, por la que un nodo puede actuar como relé entre otros dos nodos de la subred de encaminamiento. Los nodos N1 121, N2 122 y N3 123 están interconectados mediante enlaces cableados, por ejemplo Ethernet, o inalámbricos. Los nodos N1 121, N2 122, N3 123 de la subred de enrutamiento se comunican entre sí utilizando enlaces lógicos, por ejemplo comunicaciones IP o túneles encriptados o comunicaciones utilizando un protocolo de comunicaciones propietario. Estos enlaces lógicos suelen establecerse mediante mensajes de sondeo (“probe” en inglés) y descubrimiento (“discovery” en inglés). Sin embargo, cuando se utiliza una interfaz cableada para la subred de enrutamiento, esta interfaz cableada no puede utilizarse para ningún otro propósito, en particular para no conectar un terminal a ella.

Ilustrativamente, la Fig. 1 muestra que el nodo N1121 está conectado al nodo N2122 a través de un enlace inalámbrico entre la interfaz de radio de punto de acceso AP-BH del nodo N1 121 y la interfaz de radio de cliente ST-BH del nodo N2 122. El nodo N1 121 también está conectado al nodo N3123 a través de un enlace inalámbrico entre la interfaz de radio del punto de acceso AP-BH del nodo N1 121 y la interfaz de radio del cliente ST-BH del nodo N3123. En la Fig.1, los enlaces por cable se muestran como líneas continuas y los inalámbricos como líneas de puntos. Los enlaces entre dos nodos de la subred de encaminamiento se denominan enlaces "backhaul" y pueden ser alámbricos o inalámbricos.

El sistema de extensión de cobertura de comunicación inalámbrica permite así interconectar una puerta de enlace de acceso a Internet GW1 110 120, un terminal T1 131, un terminal T2 132, un terminal T3 133 y un terminal T4 134. El terminal T1 131 está conectado mediante un enlace inalámbrico al nodo N2122. El terminal T1 131 se conecta así a la red local LAN1 a través del nodo N2122 que actúa como punto de acceso, denominado "fronthaul".

El terminal T1 131 es, por ejemplo, un teléfono inteligente ("smartphone" en inglés) o una tableta. El terminal T2 132 es, por ejemplo, un PC conectado mediante un enlace inalámbrico al nodo N3 123. El terminal T3 133, por ejemplo, es un televisor conectado a la puerta de enlace GW1 mediante un enlace por cable, que se muestra como una línea continua. El terminal T4 134 es, por ejemplo, una unidad de almacenamiento en red nAs (“Network Attached Storage” en inglés) conectada por cable a la puerta de enlace GW1.

Los nodos de la subred de encaminamiento son coordinados centralmente, por un nodo maestro, por ejemplo el nodo N1 121 en la Fig. 1, elegido entre dichos nodos de la subred de encaminamiento. Por tanto, todos los nodos de la subred de encaminamiento conocen el nodo maestro y pueden identificarlo por su dirección MAC y/o dirección de red (por ejemplo, dirección IP). Todos los nodos de la subred de enrutamiento también conocen a todos los demás nodos de la subred de enrutamiento y pueden identificarlos por sus direcciones MAC y/o direcciones de red (por ejemplo, direcciones IP). Los terminales conectados de este modo a la LAN1 pueden beneficiarse de una serie de servicios. Por ejemplo, la unidad NAS (T4 134) puede proponer al PC (T2 132) el montaje de una unidad de red utilizando un protocolo determinado, por ejemplo, el protocolo Samba. La tableta (T1 131) puede enviar un flujo de vídeo a un televisor conectado (T3 133) utilizando un protocolo específico de tipo Chromecast.

En cuanto los terminales T1 y T2 dejan de estar conectados a la misma LAN que los terminales T3 y T4, estos servicios dejan de estar disponibles. Este es el caso, en particular, cuando un usuario desplaza el terminal T1 131 o T2 132, por ejemplo, cuando se va de vacaciones. Los túneles IP se han utilizado para crear redes privadas virtuales denominadas VPN, (“Virtual Private Network” en inglés). SSL (acrónimo inglés de “Secure Sockets Layer”) y su sucesor TLS (acrónimo inglés de “Transport Layer Security”) son protocolos utilizados por las VPN. Esta solución permite que dos partes remotas de la misma red local se comuniquen de forma segura a través de una red de terceros. Sin embargo, requiere la configuración de tantas VPN como terminales haya que conectar. En el caso mostrado en la Fig. 1, si los terminales T1 y T2 se desplazan, por ejemplo, a un lugar de vacaciones, es necesario configurar dos VPN, es decir, una para cada terminal. Por tanto, esta solución es costosa de aplicar.

Además, esta solución requiere un conocimiento previo de la dirección de la red LAN remota, así como de los parámetros de acceso que permiten establecer la comunicación, del mismo modo que se utiliza para conectarse remotamente a la red corporativa durante un desplazamiento hacia una red ajena. Por tanto, esta solución es complicada de aplicar para un usuario novato.

Es entonces deseable superar estos inconvenientes del estado de la técnica.

Descripción de la invención

La invención se define mediante las reivindicaciones independientes. Otras realizaciones se definen en las reivindicaciones dependientes.

Según una primera realización, se describe un procedimiento de conexión de un nodo de un sistema de extensión de cobertura de comunicación inalámbrica. El sistema de extensión de la cobertura de comunicaciones inalámbricas comprende una subred de enrutamiento en forma de árbol formada por un conjunto de nodos interconectados de forma inalámbrica o por cable mediante los denominados enlaces de enrutamiento. Una pluralidad de nodos de la subred de encaminamiento implementan una funcionalidad de punto de acceso de una única red de comunicación inalámbrica. El sistema de extensión de la cobertura de comunicación inalámbrica está adaptado para permitir que los dispositivos se conecten a dichos nodos a través de la red de comunicación inalámbrica o de forma cableada para formar una red de área local inicial. El procedimiento de conexión comprende las siguientes etapas realizadas por el nodo que se va a conectar:

• determinar si dicho nodo ha sido desplazado fuera de dicha red local inicial;

y si el nodo se ha desplazado:

• configurar una red local a partir de dicho nodo desplazado activando una funcionalidad de servidor de direcciones;

• conectar dicho nodo desplazado a un punto de acceso a Internet;

• configurar un túnel seguro entre dicho nodo desplazado y un nodo maestro que coordine dicha red local inicial;

• desactivar la funcionalidad de servidor de direcciones y activar una funcionalidad de cliente de un servidor de direcciones de dicha red de área local inicial.

En una realización particular, determinar si dicho nodo se ha desplazado fuera de dicha red local inicial comprende:

• intentar establecer durante un periodo de tiempo predefinido un enlace de encaminamiento entre dicho nodo y al menos otro nodo de dicha subred de encaminamiento;

• determinar que dicho nodo ha sido desplazado fuera de dicha red local inicial en caso de que dicho intento haya fracasado.

En una realización, determinar si dicho nodo se ha desplazado fuera de dicha red de área local inicial comprende: determinar que dicho nodo se ha desplazado fuera de dicha red de área local inicial en el caso de que una lista de puntos de acceso visibles a una interfaz de radio de dicho nodo sea sustancialmente diferente de una segunda lista de puntos de acceso almacenada en memoria, siendo dicha segunda lista una lista de puntos de acceso que eran visibles a dicha interfaz de radio cuando dicho nodo estaba en dicha red de área local inicial.

En una realización particular, configurar una red local desde dicho nodo desplazado activando una funcionalidad de servidor de direcciones comprende:

• activar su funcionalidad de punto de acceso para dicha red de comunicación inalámbrica;

• configurar una funcionalidad de servidor DHCP y la funcionalidad de servidor DNS; y

• enviar una concesión DHCP a los terminales que lo soliciten.

En una realización particular, la conexión de dicho nodo desplazado a un punto de acceso a Internet comprende:

• determinar una lista de al menos un punto de acceso al que dicho nodo puede conectarse;

• seleccionar un punto de acceso de dicha lista desde una página web mostrada en una pantalla de un terminal conectado a dicho nodo desplazado; y

• conectar dicho nodo desplazado a dicho punto de acceso seleccionado.

En una realización particular, dicho punto de acceso seleccionado es una primera puerta de enlace de acceso a Internet.

En una realización particular, configurar un túnel seguro entre el nodo desplazado y dicho nodo maestro, estando dicho nodo maestro conectado a una segunda puerta de enlace de acceso a Internet, comprende:

a) enviar a un nombre de dominio correspondiente a dicha segunda puerta de enlace a través de un puerto predefinido una solicitud de conexión, incluyendo dicha solicitud de conexión un certificado de cliente de dicho nodo desplazado firmado por un certificado raíz de un nodo actual; y

b) si dicho certificado de cliente es recibido y validado por dicho nodo maestro:

o recibir un certificado de servidor de dicho nodo maestro firmado por un certificado raíz de dicho nodo maestro;

o validar el certificado de servidor recibido utilizando el certificado raíz del nodo maestro; o establecer un túnel entre dicho nodo y dicho nodo maestro.

c) en caso contrario, repetir las etapas a) a c) hasta que se establezca dicho túnel entre dicho nodo y dicho nodo maestro, repitiéndose dichas etapas con dicha solicitud de conexión que comprende un certificado de cliente de dicho nodo desplazado firmado por un certificado raíz de otro nodo distinto de dicho nodo actual.

También se describe un nodo de un sistema de extensión de cobertura de comunicación inalámbrica. El nodo está configurado para llevar a cabo las etapas del procedimiento de conexión según uno de los modos de implementación descritos anteriormente.

Se describe un programa de ordenador. El programa de ordenador comprende instrucciones para implementar, por un nodo de una subred de encaminamiento de un sistema de extensión de cobertura de comunicaciones inalámbricas, el procedimiento de conexión según una de las realizaciones descritas anteriormente, cuando dicho programa es ejecutado por un procesador de dicho nodo.

Se describen medios de almacenamiento. Los medios de almacenamiento almacenan un programa informático que comprende instrucciones para implementar, por un nodo de una subred de encaminamiento de un sistema de extensión de cobertura de comunicaciones inalámbricas, el procedimiento de conexión según una de las realizaciones descritas anteriormente, cuando dicho programa es ejecutado por un procesador de dicho nodo.

Breve descripción de los dibujos

Las anteriores y otras características de la invención resultarán más claras a partir de la siguiente descripción de una realización de ejemplo, haciéndose dicha descripción en relación con los dibujos adjuntos, entre los cuales:

La [Fig. 1] ilustra esquemáticamente la arquitectura de un sistema de comunicación que comprende un sistema de extensión de cobertura de comunicación inalámbrica construido en torno a una subred de encaminamiento que comprende un conjunto de nodos interconectados;

La [Fig. 2] ilustra esquemáticamente la arquitectura de un sistema de comunicación que comprende un sistema de extensión de cobertura de comunicación inalámbrica construido en torno a una subred de encaminamiento que comprende un conjunto de nodos interconectados según un modo de realización particular;

La [Fig. 3] ilustra esquemáticamente un procedimiento de conexión de un nodo nómada a una red local inicial según un modo de realización particular;

La [fig. 4A] ilustra esquemáticamente una realización particular de una etapa del procedimiento de conexión; La [fig. 4B] ilustra esquemáticamente una realización particular de una etapa del procedimiento de conexión; La [Fig. 5] ilustra esquemáticamente una aplicación concreta de una etapa del procedimiento de conexión; La [fig. 6] ilustra esquemáticamente una aplicación concreta de una etapa del procedimiento de conexión; La [Fig. 7] ilustra esquemáticamente un procedimiento para configurar parámetros (por ejemplo, certificados, claves públicas y privadas) útiles para implementar un túnel seguro;

La [Fig. 8] ilustra esquemáticamente una implementación particular de un túnel seguro entre un nodo maestro y un nodo nómada; y

La [Fig. 9] ilustra esquemáticamente la arquitectura de hardware de un nodo de una red de comunicación inalámbrica, estando el nodo configurado para realizar todas o algunas de las etapas de los procedimientos ilustrados en las Figs. 3 á 8.

Descripción detallada de las realizaciones

Al menos una realización permite conectar un nodo a su red local original, denominada red local inicial, después de que dicho nodo haya sido desplazado a otra red local y ofrecer así a los terminales móviles conectados a él los servicios ofrecidos por la red local inicial.

LaFig.2ilustra esquemáticamente un sistema de comunicación que comprende un sistema de extensión de cobertura de comunicación inalámbrica construido alrededor de una subred de encaminamiento que tiene un conjunto de nodos interconectados N1 121, N2122, N3123. Los nodos N1 121, N2122, N3123 formaban parte inicialmente de la misma LAN1 inicial. A continuación, el nodo N2 122 se desplazó fuera de esta LAN1 inicial. Por ejemplo, el nodo N2122 fue desplazado por un usuario que lo llevó a su destino de vacaciones. En esta figura, el nodo desplazado N2 122 está conectado a través de su interfaz de radio ST-BH a una puerta de enlace de acceso a Internet GW2 115. La puerta de enlace GW2 dispone de una red de área local LAN2. En lo sucesivo, los nodos N1 121, N2 122 y N3 123 se denominarán N1, N2 y N3, respectivamente.

La Fig.3ilustra esquemáticamente un procedimiento para conectar un nodo desplazado a la red local inicial LAN1.

En una etapa S200, el nodo N2 determina si ha sido desplazado fuera de su red local inicial LAN1.

LaFig.4Ailustra esquemáticamente una realización particular de la etapa S200.

Cuando se enciende, el nodo N2 previamente conectado a la LAN1 inicial busca restablecer su enlace "backhaul" (S200-1) durante un periodo de tiempo T Por ejemplo, T es igual a 2 min. Para ello, el nodo N2 busca en sus distintas interfaces de radio un punto de acceso cuyas características coincidan con las características (por ejemplo, las características del punto de acceso AP-BH del nodo N1) almacenadas en memoria durante una conexión anterior. Un ejemplo de característica es el BSSID

("Basic Service Set Identifiers"). La conexión anterior tuvo lugar antes del desplazamiento de dicho nodo N2, es decir, cuando aún formaba parte de la LAN1 original. Si encuentra un punto de acceso de este tipo, el nodo N2 se conecta a él, es decir, restablece su enlace backhaul mediante un procedimiento clásico de implementación de redes Wi-Fi utilizando un enlace inalámbrico. También puede sondear la presencia de dicho enlace "backhaul" a través de sus interfaces cableadas con vistas a establecer este enlace mediante un procedimiento normal de implementación de una red Wi-Fi utilizando un enlace cableado. Como el enlace de retorno se ha restablecido entre el nodo N2 y, por ejemplo, el nodo N1, el nodo N2 determina que no se ha desplazado (S200-3). Si el nodo no ha conseguido restablecer este enlace “backhaul” (S200-2), entonces el nodo N2 determina que ha sido desplazado (S200-4).

LaFig. 4Bilustra una realización alternativa de la etapa S200. En la etapa S200-5, cuando se enciende, el nodo N2 compara una lista L1 de puntos de acceso visibles en sus proximidades a través de sus interfaces de radio con una lista L2 almacenada en memoria. La lista L2 es una lista de puntos de acceso que eran visibles a través de sus interfaces de radio antes de ser desplazados eventualmente. Así, si las dos listas son similares (S200-6), el nodo N2 determina que no ha sido desplazado (S200-7). Por lo tanto, restablece su enlace de retorno. Si las listas son muy diferentes, el nodo N2 determina que ha sido desplazado (S200-8). Se considera que las listas son similares si un determinado porcentaje de puntos de acceso son comunes a ambas listas, por ejemplo. 50%. En una realización, las listas se consideran similares si el porcentaje P de puntos de acceso de la lista L1 que se encuentran en la lista L2 almacenada en memoria es mayor que un valor umbral S, por ejemplo. 40% o 50%. En caso contrario, es decir P<S, se considera que las listas son muy diferentes. Por ejemplo, si la lista L1 contiene 5 puntos de acceso y 3 de estos 5 puntos de acceso se encuentran en la lista L2, entonces las dos listas se consideran similares porque el 60% de los puntos de acceso L1 se encuentran en L2. Por otro lado, si sólo uno de estos 5 puntos de acceso se encuentra en la lista L2, entonces se considera que las dos listas son muy diferentes porque sólo el 20% de los puntos de acceso L1 se encuentran en L2.En otra variante, la determinación de si se debe desplazar el nodo N2 fuera de la red local inicial (S200) la realiza un usuario pulsando un botón en el nodo N2 o seleccionando una entrada de un menú.

Con referencia a la Fig.3, si el nodo N2 determina que ha sido desplazado fuera de la red local inicial, entonces implementa la etapa S210. En la etapa S210, el nodo nómada N2 configura una red de área local LAN3 activando una funcionalidad de servidor de direcciones.

LaFig.5ilustra esquemáticamente una realización particular de la etapa S210. En la etapa S210-1, el nodo N2 pone en funcionamiento su interfaz de radio de punto de acceso AP-FH, tal y como estaba configurada en funcionamiento normal, es decir, antes de que el nodo N2 se moviera. En concreto, el nodo N2 utiliza el mismo SSID y contraseña que los utilizados antes de que el nodo N2 fuera desplazado, es decir, en la configuración mostrada en la Fig. 1. Esto permite a todos los terminales, en este caso T1 y T2 en la Fig. 2, registrados previamente en la red local inicial conectarse de nuevo al nodo N2. En la etapa S210-2, el nodo N2 activa una funcionalidad de servidor DHCP (Dynamic Host Configuration Protocol) conectado a su punto de acceso AP-FH. El servidor DHCP alojado en N2 se asigna a sí mismo una dirección IP fija que se define en un rango de direcciones IP, por ejemplo, en el rango 192.168. 1.xxx.

El nodo N2 también configura una funcionalidad de servidor DNS (acrónimo inglés de “Domain Name System”) que traduce los nombres de dominio en direcciones IP y viceversa. La dirección IP del servidor DNS es la del servidor DHCP.

En una etapa S210-3, el servidor DHCP en N2 entrega direcciones IP a los terminales que las solicitan. Más concretamente, el servidor DHCP proporciona una concesión (asignación de direcciones IP) tal y como se define en el documento normativo RFC 1531, modificado y completado por los documentos normativos RFC 1534, RFC 2131 y RFC 2132. Una concesión suele incluir una dirección IP y un periodo de validez. Normalmente, una dirección IP es asignada por el terminal T1 o T2 emitiendo una petición de tipo DHCPDISCOVER para localizar un servidor de tipo DHCP La solicitud DHCPDISCOVER incluye la dirección física (o dirección MAC) del terminal. El nodo N2 recibe el mensaje DHCPDISCOVER en su punto de acceso AP-FH. En respuesta, envía una respuesta DHCPOFFER, es decir, una oferta de concesión IP, que incluye la dirección IP del servidor DHCP y la dirección IP que propone al terminal. En general, el terminal enviará entonces un mensaje DHCPREQUEST en el que selecciona una oferta de concesión IP El mensaje DHCPREQUEST contiene la identificación del servidor DHCP seleccionado. El servidor DHCP seleccionado envía un mensaje de confirmación DHCPACK, que puede contener la dirección del servidor DNS.

De este modo, los terminales T1 y T2 se vuelven funcionales con respecto a la red local LAN3. El nodo N2 es entonces el destinatario de cualquier solicitud IP de T1 y T2 a Internet.

Con referencia a la Fig.3, en una etapa S220, el nodo desplazado se conecta a un punto de acceso a Internet. En una realización particular, este punto de acceso se selecciona entre un terminal, por ejemplo T1 o T2, conectado a dicha LAN3.

LaFig.6ilustra esquemáticamente una realización particular de la etapa S220.

En una etapa S220-1, el nodo N2 determina una lista de al menos un punto de acceso al que es probable que se conecte. Para ello, se intercambian mensajes de sondeo (solicitud y respuesta) entre el nodo N2 y otros puntos de acceso. Mediante el intercambio de estos mensajes de sondeo, el nodo N2 recibe información de los puntos de acceso, por ejemplo la puerta de enlace GW2, a los que es probable que se conecte.

En una etapa S220-2, el nodo N2 presenta una página web en respuesta a cualquier solicitud de navegación a Internet emitida por un terminal. Esta etapa se conoce como portal cautivo. Consiste en redirigir las solicitudes de navegación por Internet de un usuario a una página web especial antes de que acceda a Internet normalmente. Esta página web incluye la lista de puntos de acceso obtenida en la etapa S220-1. El usuario, a través del terminal que emitió la solicitud de navegación por Internet, selecciona uno de los puntos de acceso de la lista a través de la página web e introduce la información de conexión, por ejemplo, la información de autenticación (por ejemplo, la contraseña del usuario). SSID, contraseña), pago (por ejemplo, número de tarjeta de crédito), dirección de correo electrónico, etc. para acceder a Internet.

En una etapa S220-3, el nodo N2 se conecta a través de su interfaz de radio de cliente ST-BH al punto de acceso, es decir, a la puerta de enlace GW2 en la Fig. 2, seleccionado por el usuario en la etapa S220-3.

Al final de la etapa S220, el nodo N2 se encuentra en la intersección de la red local LAN3 a la que pertenecen los terminales T1 y T2 y la red local LAN2 presentada por el punto de acceso seleccionado en la etapa S220-2, en este caso la puerta de enlace GW2 de la Fig.2. Las direcciones IP entregadas por el servidor DHCP integrado en el nodo N2 deben ser diferentes de las direcciones utilizadas por la red local LAN2 ofrecidas por la puerta de enlace GW2. En el caso particular de que exista un conflicto entre ambas, la etapa S210 se reinicia después de la etapa S220 con un rango de direcciones IP diferentes a las entregadas por GW2, la interfaz de radio AP-FH del nodo N2 también se reinicia para forzar a los terminales a reconectarse y obtener una dirección IP en LAN3 perteneciente al nuevo rango de direcciones IP

Estando en la intersección de las dos redes LAN2 y LAN3, el nodo N2 implementa una funcionalidad de encaminamiento para encaminar los datos con destino a Internet transmitidos por terminales en su LAN3 a la puerta de enlace GW2.

Actúa así como puerta de enlace intermedia o concentrador. Permite a los terminales T1 y T2 acceder a Internet a través de una única conexión física a la red LAN2, soportada por el nodo N2.

Con referencia a la Fig.3, en una etapa S230, se configura un túnel seguro entre el nodo desplazado N2 y un nodo maestro de la red local inicial, en este caso N1 en la Fig. 2. Para ello, se monta una interfaz lógica IL.N2 en el nodo N2 del lado LAN3 y una interfaz lógica IL.N1 en el nodo N1. A continuación, se configura un túnel entre las dos interfaces lógicas. De esta forma, todo el tráfico en el nodo N2 destinado a IL.N2 terminará en IL.N1 en el nodo N1. Los parámetros (por ejemplo, certificados) para acceder al túnel seguro están configurados y, por tanto, son conocidos por todos los nodos de la LAN1 inicial. Por ejemplo, los parámetros se generan y almacenan para cada nodo de la LAN1 inicial cuando se conectan a la LAN1 inicial o cuando se comunican por primera vez con la LAN1 inicial. En concreto, el nodo N2 conoce estos parámetros antes de su desplazamiento, es decir, mientras forma parte físicamente de la red local inicial LAN1. EnFig. 7.se ilustra un ejemplo de procedimiento para configurar estos parámetros. LaFig.8ilustra esquemáticamente una realización particular de la etapa S230.

Con referencia a la Fig.3, en una etapa S240, se desactiva la funcionalidad de servidor de direcciones del nodo desplazado y se activa una funcionalidad de cliente de un servidor de direcciones de dicha LAN1 inicial.

Según una realización particular, se desactiva el servidor DHCP configurado en la etapa S210-2 y se activa una funcionalidad de cliente de un servidor DHCP Por lo tanto, se elimina la dirección IP fija asignada al servidor DHCP alojado en el nodo N2 en la etapa S210-2. Los enlaces Wi-Fi entre la interfaz de radio AP-FH y los terminales se reinician apagando y volviendo a encender la interfaz de radio. En una variante, se envían solicitudes de desasociación. De este modo, el nodo N2 y los terminales conectados al punto de acceso AP-FH del nodo N2 obtienen cada uno una dirección IP suministrada por el servidor DHCP de LAN1. Así, N2 y los terminales T1 y T2 forman parte de LAN1. Se establece un enlace backhaul entre el nodo nómada N2 y el nodo maestro N1. De este modo, el nodo nómada N2 es una extensión del sistema de cobertura de comunicaciones inalámbricas.

La tabla de enrutamiento se actualiza a continuación. A medida que se actualiza la tabla de enrutamiento, si el terminal T1 intenta alcanzar una dirección que no forma parte de la red local LAN1 inicial, el enrutamiento propaga los mensajes a GW2. Los terminales T1 y T2 conectados directamente a N2 comparten el acceso a Internet proporcionado por GW2.

Los terminales, ya estén conectados a la parte resto local, o al nodo nómada N2 están por tanto conectados a la misma LAN1 inicial. De este modo, los terminales T1 y T2 pueden acceder a los servicios (por ejemplo, montar una unidad de red utilizando un protocolo concreto como Samba, enviar un flujo de vídeo a un televisor conectado utilizando un protocolo concreto como Chromecast, etc.) ofrecidos por LAN1 como si estuvieran en casa. Por ejemplo, si el terminal T1 está equipado con la funcionalidad de navegación UPnP (acrónimo inglés de “Universal Plug and Play”), puede acceder a los contenidos multimedia ofrecidos por un servidor NAS, por ejemplo el nodo N3, equipado con la misma funcionalidad UPnP Los terminales T1 y T2 también pueden beneficiarse en desplazamiento del mismo cortafuegos que en casa.

LaFig.7ilustra esquemáticamente un procedimiento para configurar, en los nodos de la LAN1 inicial, parámetros (por ejemplo, certificados, claves públicas y privadas) útiles para implementar un túnel seguro. En la Fig.7, se supone que el nodo N1 es un nodo nuevo en la LAN1 original, mientras que se supone que los nodos N2 y N3 ya están presentes en la LAN1 original. Los parámetros se configuran para el nodo N1, por ejemplo, cuando se conecta a la LAN1 inicial.

En una etapa S700, el nodo N1 crea una autoridad de certificación que emite un certificado raíz ("root certificate" en inglés) CA1.crt. Este certificado raíz está autofirmado para su nombre distintivo (“Distinguished Name” en inglés), por ejemplo, su nombre de dominio, con una clave privada asociada. En términos generales, un certificado lo emite una autoridad de certificación. Contiene una clave pública y diversos datos, principalmente sobre la identidad del remitente.

En una etapa S702, el nodo N1 envía su certificado raíz autofirmado CA1.crt a todos los demás nodos conectados a la LAN1 inicial, incluidos N2 y N3.

En una etapa S704, el nodo N1 envía una solicitud de recogida de certificado raíz a todos los demás nodos conectados a la LAN1 inicial, incluidos N2 y N3. En una etapa S706, el nodo N1 recibe los certificados raíz autofirmados emitidos por las autoridades de certificación de los nodos N2 y N3, es decir. CA2.crt y CA3.crt respectivamente. En la etapa S708, el nodo N1 genera un servidor PKi (acrónimo inglés de “Public Key Infrastructure”) cuya clave pública está firmada con su certificado raíz CA1.crt. La clave pública será transmitida por una aplicación de servidor de gestión de túneles (por ejemplo, un servidor VPN/TLS) a través del certificado CA_SERVER_EXT1.crt cuando se establezca la conexión. Permitirá a una aplicación cliente de gestión de túneles (por ejemplo, un cliente VPN/TLS) identificar con certeza el servidor PKi gracias a su validación por el certificado raíz CA1.crt.

En una etapa S710, el nodo N1 envía una solicitud de generación de Pki de cliente a los otros nodos de la red, en particular N2 y N3. Al recibir esta solicitud, los nodos N2 y N3 generan un cliente Pki y envían una solicitud de firma de certificado (CSR o “Certificat Signing Request” en inglés) al nodo N1. La CSR contiene información que identifica al nodo emisor y la clave pública elegida por dicho nodo. La clave privada correspondiente no se incluye en el CSR, pero se utiliza para firmar digitalmente la solicitud.

En una etapa S712, el nodo N1 recibe CSR de los nodos N2 y N3.

En una etapa S714, el nodo N1 firma las CSR recibidas con su certificado raíz CA1.crt. En una etapa S716, el nodo N1 envía a los nodos N2 y N3 sus CSR firmados por su certificado raíz. La CSR emitida por el nodo N2 y firmada por la CA raíz de N1 se anota CA_CLIENT_EXT2_POUR_EXT1.crt y la CSR emitida por el nodo N3 y firmada por la CA raíz de N1 se anota CA_CLIENT_EXT3_POUR_EXT1.crt.

En una etapa S718, el nodo N1 también generará un cliente Pki y enviará en una etapa S720 un CSR a todos los nodos de la LAN1 inicial, en particular N2 y N3.

Los nodos de la red firmarán entonces, en una etapa S722, la CSR recibida del nodo N1 con su propio certificado raíz. A continuación, la CSR firmada se envía de vuelta al nodo N1. La CSR emitida por el nodo N1 y firmada por la CA raíz de N2 se denota por

CA_CLIENT_EXT1_POUR_EXT2.crt y la CSR emitida por el nodo N1 y firmada por la CA raíz de N3 se anota CA_CLIENT_EXT1_POUR_EXT3.crt.

Todas las claves privadas (CA, servidor PKi y cliente PKi) pueden encriptarse utilizando tecnología PEM (acrónimo inglés de “Privacy Enhanced Mail”) con un secreto conocido sólo por el nodo (por ejemplo, utilizando un secreto de hardware enterrado si tal secreto está disponible). Esto garantiza que cualquier equipo que consiga robar esta información no pueda utilizarla. Un criptoprocesador TMP (acrónimo inglés de “Trusted Platform Module”) es un ejemplo de este tipo de secreto de hardware enterrado. Permite proteger un sistema integrando claves de cifrado en el hardware. Las claves, que pueden ser únicas para cada equipo, se flashean en fábrica y no pueden volver a leerse. El criptoprocesador proporciona interfaces de programación (“Application Programming Interface” o API en inglés) de cifrado/descifrado, pero nunca revela las claves.

Los nodos de la LAN1 inicial también necesitan conocer el nombre de dominio correspondiente a la puerta de enlace GW1, así como un número de puerto específico para alcanzarla con el fin de configurar un túnel seguro con el nodo maestro. El número de puerto está predefinido, por ejemplo 5253. El nombre de dominio se registró en DNS dinámico o DynDNS, durante la construcción, o en una configuración de usuario.

Al final de la configuración, cada nodo LAN1 tiene así:

a) Una clave DH (acrónimo inglés de Diffie-Hellman) para el cifrado del túnel;

b) La clave privada de su autoridad de certificación y los certificados raíz de todos los extensores (incluido el suyo);

c) La clave privada de su servidor Pki y el certificado asociado, es decir CA_SERVER_EXT1.crt;

d) La clave privada de su cliente Pki y los certificados de cliente emitidos por todos los nodos (excepto el suyo); e) El nombre de dominio correspondiente a la puerta de enlace GW1; y

f) El número de puerto específico que hay que utilizar para acceder a él a fin de configurar el túnel.

Al final de la configuración, cada nodo tiene por tanto a su disposición todos los parámetros para establecer un túnel seguro como nodo maestro de la red local LAN1 inicial o como nodo nómada.

Así, el nodo maestro de la LAN1 inicial puede iniciar un servidor VPN utilizando la clave privada de su servidor Pki, el certificado asociado, el certificado raíz utilizado para cifrarlo y su clave DH. Ventajosamente, el servidor sólo se configurará cuando se detecte que al menos uno de los nodos está ausente.

LaFig. 8ilustra esquemáticamente una implementación particular de un túnel seguro entre un nodo maestro N1 y un nodo nómada N2. En un ejemplo de realización, el túnel seguro se configura utilizando el protocolo TLS, el sucesor de SSL. Este protocolo se describe en los siguientes documentos: RFC 4346 TLS v1.1, RFC 5246 TLS v1.2 y RFC 8466 TLS v1.3. Más concretamente, la sección 7.3 del RFC 5246 TLS v1.2 describe el "protocolo Handshake", que describe cómo un servidor y un cliente TLS pueden autenticarse mutuamente, en particular mediante el intercambio de sus certificados.

En una situación en la que uno de los nodos, en este caso N2, es móvil, la puerta de enlace GW1 está configurada para dejar que las peticiones para configurar el túnel lleguen al nodo maestro (N1 en el ejemplo de la Fig. 2). Por ejemplo, una solicitud que llega a un puerto predefinido (por ejemplo, 5253) en una interfaz WAN(acrónimo inglés de “WideAreaNetwork”) de GW1 se redirige al nodo maestro N1, que puede procesar la solicitud.

El nodo nómada N2 puede en cualquier momento intentar conectar un túnel seguro, por ejemplo, un túnel VPN, utilizando una tripleta (clave privada de su cliente Pki , certificado asociado, por ejemplo. CA_CLIENT_EXT2_PoUR_ExT1.crt, el certificado raíz utilizado para cifrarlo, p. ej. CAl.crt) al nombre de dominio correspondiente a la puerta de enlace GW1 a través del número de puerto predefinido. Una conexión que utilice esta información sólo será posible con el nodo que contenga la clave privada asociada al certificado raíz.

En una etapa S230-1, el nodo nómada N2 envía una solicitud de conexión al nodo N1. La solicitud de conexión incluye un certificado

CA_CLIENT_EXT2_POUR_EXT1.crt. El servidor VPN/TLS sólo aceptará un cliente cuando el certificado esté firmado por la autoridad de certificación del nodo maestro. Esto garantiza que el cliente es conocido y está autorizado.

En una etapa S230-2, el nodo N1 valida el certificado recibido utilizando CAl.crt. De este modo, el nodo N2 es identificado por el nodo N1 como perteneciente a la red local LAN1.

En una etapa S230-3, el nodo N1 confirma la solicitud de conexión enviando un certificado CA_SERVER_EXT1.crt.

En una etapa S230-4, el nodo N2 valida el certificado recibido utilizando CAl.crt. De este modo, el nodo N1 es identificado por el nodo N2 como el nodo de destino para configurar el túnel.

A partir de ese momento, el diálogo entre los nodos N1 y N2 se autentifica y se configura un túnel durante una etapa S230-5 que se cifra mediante una clave DH (acrónimo en inglés de "Diffie-Hellman").

Opcionalmente, la clave privada del nodo nómada N2 está protegida por un secreto de hardware enterrado. Esto hace imposible que un nodo nómada fuera de la LAN1 o un equipo malicioso con conocimiento de la clave privada pueda conectarse.

Si la conexión falla, por ejemplo si el maestro ha cambiado desde que el nodo nómada N2 se fue y ya no es el nodo N1, el nodo nómada utiliza la siguiente tripleta (clave privada de su cliente Pki, certificado asociado, por ejemplo. CA_CLIENT_EXT2_POUR_EXT3.crt, el certificado raíz utilizado para cifrarlo, p. ej. CA3.crt), hasta que la conexión tenga éxito.

La Fig. 9 ilustra esquemáticamente la arquitectura de hardware de un dispositivo electrónico o nodo de una red de comunicación inalámbrica, estando el nodo configurado para realizar algunas o todas las etapas de los procedimientos ilustrados en las Figs. 3 a 8.

Así, el dispositivo electrónico 900 comprende, conectados por un bus de comunicación: un procesador o CPU ("Central Processing Unit" en inglés) 901; una memoria MEM 902 del tipo RAM ("Random Access Memory" en inglés), ROM ("Read Only Memory" en inglés) y/o EPROM ("Erasable Programmable Read Only Memory" en inglés), eventualmente un módulo de red NET 903, por ejemplo del tipo Ethernet, un módulo de almacenamiento STCK 904 del tipo almacenamiento interno y eventualmente una pluralidad de módulos de radiofrecuencia 905 a 90N conformes a una norma del tipo IEEE 802.11. El dispositivo electrónico 900 puede incluir opcionalmente una o más interfaces de entrada/salida no mostradas en la Fig. 9 (por ejemplo, un teclado, un ratón, un panel táctil, una cámara web, etc.), cada una de las cuales está configurada para mostrar información y/o permitir a un usuario introducir comandos o datos. El dispositivo electrónico 900 también puede incluir una fuente de alimentación no mostrada en la Fig. 9, que también puede ser externa al dispositivo electrónico.

El módulo de almacenamiento STCK 904 puede ser del tipo HDD ("Hard Disk Drive" en inglés) o SSD ("Solid-State Drive" en inglés), o del tipo lector de medios de almacenamiento externo, tal como un lector de tarjetas SD ("Secure Digital" en inglés).

El procesador de CPU 901 puede almacenar datos, o información, en la memoria MEM 902 o en el módulo de almacenamiento STCK 904. El procesador CPU 901 puede leer datos almacenados en la memoria MEM 902 o en el módulo de almacenamiento STC<k>904. Estos datos pueden corresponder a parámetros de configuración, por ejemplo, certificados. El módulo de red NET 903, si está presente, normalmente permite que el dispositivo electrónico 900 se conecte a una red local y/o a Internet. Cada módulo de radiofrecuencia 905 a 90n permite al dispositivo electrónico 900 establecer una pluralidad de interfaces de radiofrecuencia conformes a una norma denominada Wi-Fi. Una interfaz de radiofrecuencia puede ser un punto de acceso, es decir AP-FH o AP-BH, o, por otro lado, una interfaz de radiofrecuencia denominada de usuario, ST-BH, que permite la asociación con una interfaz de radiofrecuencia de punto de acceso de otro dispositivo electrónico.

El procesador de CPU 901 es capaz de ejecutar instrucciones cargadas en la memoria MEM 902, por ejemplo desde el módulo de almacenamiento STCK 904. Cuando el dispositivo electrónico 900 se enciende, el procesador de la CPU 901 es capaz de leer instrucciones de la memoria MEM 902 y ejecutarlas. Estas instrucciones forman un programa de ordenador que hace que el procesador CPU 901 implemente todos o algunos de los procedimientos y etapas descritos anteriormente, en particular el procedimiento descrito en las Figs. 3 a 8. Todos o algunos de los procedimientos y etapas descritos anteriormente pueden implementarse en forma de software mediante la ejecución de un conjunto de instrucciones en una máquina programable, como un DSP ("Digital Signal Processor” en inglés) o un microcontrolador. La totalidad o parte de los procedimientos y etapas aquí descritos también pueden implementarse en forma de hardware mediante una máquina o componente dedicado, como una matriz de puertas programables en campo FPGA(“ Field-Programmable Gate Array” en inglés) o un circuito integrado de aplicación específica (ASIC). Las funciones del dispositivo electrónico 900 pueden integrarse en un nodo de una red inalámbrica compatible con IEEE 802.11 mediante una actualización de software, por ejemplo, actualizando el microprograma (“firmware” en inglés) del dispositivo electrónico 900.

Claims (10)

REIVINDICACIONES

1. Un procedimiento de conexión de un nodo de un sistema de extensión de cobertura de comunicación inalámbrica que comprende una subred de encaminamiento en forma de árbol que comprende un conjunto de nodos interconectados inalámbricamente o por cable mediante los denominados enlaces de encaminamiento, implementando una pluralidad de nodos de la subred de encaminamiento una funcionalidad de punto de acceso de una misma red de comunicación inalámbrica, estando el sistema de extensión de la cobertura de comunicación inalámbrica adaptado para permitir la conexión de dispositivos a dichos nodos a través de la red de comunicación inalámbrica o de forma cableada para formar una red local inicial, comprendiendo dicho procedimiento de conexión las siguientes etapas realizadas por dicho nodo:

- determinar (S200) si dicho nodo ha sido desplazado fuera de dicha red local inicial;

y en caso de que el nodo se haya desplazado:

- configurar (S210) una red local a partir de dicho nodo desplazado activando una funcionalidad de servidor de direcciones;

- conectar (S220) dicho nodo desplazado a un punto de acceso a Internet;

- configurar (S230) un túnel seguro entre dicho nodo desplazado y un nodo maestro que coordina dicha red local inicial;

- desactivar (S240) la funcionalidad de servidor de direcciones y activar una funcionalidad de cliente de un servidor de direcciones de dicha red local inicial.

2. El procedimiento según la reivindicación 1, en el que determinar si dicho nodo se ha desplazado fuera de dicha red local inicial comprende:

- intentar establecer durante un periodo de tiempo predefinido un enlace de encaminamiento entre dicho nodo y al menos otro nodo de dicha subred de encaminamiento;

- determinar que dicho nodo ha sido desplazado fuera de dicha red local inicial en caso de que dicho intento haya fracasado.

3. El procedimiento según la reivindicación 1, en el que determinar si dicho nodo se ha desplazado fuera de dicha red local inicial comprende determinar que dicho nodo se ha desplazado fuera de dicha red local inicial en el caso de que una lista de puntos de acceso visibles por una interfaz de radio de dicho nodo, dicha primera lista, sea significativamente diferente de una segunda lista de puntos de acceso almacenada en memoria, siendo dicha segunda lista una lista de puntos de acceso que eran visibles para dicha interfaz de radio cuando dicho nodo estaba en dicha red local inicial, siendo dichas listas primera y segunda muy diferentes en el caso de que un porcentaje de puntos de acceso de la primera lista que se encuentran en la segunda lista sea inferior a un valor umbral.

4. El procedimiento según una de las reivindicaciones 1 a 3, en el que configurar una red local a partir de dicho nodo desplazado activando una funcionalidad de servidor de direcciones comprende:

- poner en funcionamiento su funcionalidad de punto de acceso para dicha red de comunicación inalámbrica; - configurar la funcionalidad de servidor DHCP y la funcionalidad de servidor DNS; y

- enviar una concesión DHCP a los terminales que la soliciten.

5. El procedimiento según una de las reivindicaciones 1 a 4, en el que la conexión de dicho nodo desplazado a un punto de acceso a Internet comprende:

- determinar una lista de al menos un punto de acceso al que dicho nodo puede conectarse;

- seleccionar un punto de acceso de dicha lista desde una página web mostrada en una pantalla de un terminal conectado a dicho nodo desplazado; y

- conectar dicho nodo desplazado a dicho punto de acceso seleccionado.

6. El procedimiento según una de las reivindicaciones 1 a 5, en el que dicho punto de acceso seleccionado es una primera puerta de enlace de acceso a Internet.

7. El procedimiento según una de las reivindicaciones 1 a 6, en el que la configuración de un túnel seguro entre el nodo desplazado y dicho nodo maestro, estando dicho nodo maestro conectado a una segunda puerta de enlace de acceso a Internet, comprende:

a) enviar una solicitud de conexión a un nombre de dominio correspondiente a dicha segunda puerta de enlace a través de un puerto predefinido, incluyendo dicha solicitud de conexión un certificado de cliente de dicho nodo desplazado firmado por un certificado raíz de un nodo actual; y

b) si dicho certificado de cliente es recibido y validado por dicho nodo maestro:

- recibir un certificado de servidor de dicho nodo maestro firmado por un certificado raíz de dicho nodo maestro;

- validar el certificado de servidor recibido utilizando el certificado raíz del nodo maestro;

- establecer un túnel entre dicho nodo y dicho nodo maestro.

c) en caso contrario, repetir las etapas a) a c) hasta que se establezca dicho túnel entre dicho nodo y dicho nodo maestro, repitiéndose dichas etapas con dicha solicitud de conexión que comprende un certificado de cliente de dicho nodo desplazado firmado por un certificado raíz de otro nodo distinto de dicho nodo actual.

8. Un nodo de un sistema de extensión de cobertura de comunicación inalámbrica que comprende una subred de encaminamiento en forma de árbol que comprende un conjunto de nodos interconectados de forma inalámbrica o por cable mediante los denominados enlaces de encaminamiento, implementando una pluralidad de nodos de la subred de encaminamiento una funcionalidad de punto de acceso de una misma red de comunicación inalámbrica, estando el sistema de extensión de la cobertura de comunicación inalámbrica adaptado para permitir la conexión de dichos dispositivos a dichos nodos a través de la red de comunicación inalámbrica o de forma cableada para formar una red local inicial, estando dicho nodo configurado para realizar las etapas del procedimiento según una cualquiera de las reivindicaciones 1 a 7.

9. Un programa de ordenador,caracterizado porquecomprende instrucciones para implementar, por un nodo de una subred de encaminamiento de un sistema de extensión de cobertura de comunicaciones inalámbricas, el procedimiento según una cualquiera de las reivindicaciones 1 a 7, cuando dicho programa es ejecutado por un procesador de dicho nodo.

10. Medios de almacenamiento,caracterizados porquealmacenan un programa de ordenador que comprende instrucciones para implementar, por un nodo de una subred de encaminamiento de un sistema de extensión de cobertura de comunicaciones inalámbricas, el procedimiento según una cualquiera de las reivindicaciones 1 a 7, cuando dicho programa es ejecutado por un procesador de dicho nodo.