NL1008351C2

NL1008351C2 - Datacommunicatienetwerk.

Info

Publication number: NL1008351C2
Application number: NL1008351A
Authority: NL
Inventors: Ronald Alexander Brockmann; Arnoud Roderick Zwemmer; Maarten Hoeben
Original assignee: No Wires Needed B V
Priority date: 1998-02-19
Filing date: 1998-02-19
Publication date: 1999-08-20
Also published as: ATE450100T1; EP0939519A1; US6487657B1; DE69941644D1; EP0939519B1

Description

NL 43.468-VB/yt Datacommunicatienetwerk

De uitvinding heeft betrekking op een datacommunicatienetwerk geschikt voor informatie-uitwisseling tussen computers, welk netwerk ten minste een althans draadloos LAN (local area network) omvat en in een bedieningsgebied ver-5 spreid opgestelde toegangsorganen (access points) voor koppeling van de in het ten minste ene LAN opgenomen computers aan het netwerk.

Een dergelijk datacommunicatienetwerk is reeds jaren bekend uit de praktijk. Het in een dergelijk datacommunica-10 tienetwerk opgenomen draadloze local area network (LAN) is ontwikkeld om te voorzien in grotere flexibiliteit, mobiliteit en het verlagen van de anders noodzakelijke kosten voor infrastructuur en beheer. In een dergelijk draadloos LAN kan een laptop-computer zijn opgenomen, die is ingericht voor 15 draadloze communicatie. Om in de communicatiefunctie te voorzien, is het netwerk uitgerust met zogeheten toegangsorganen (access points), welke zijn opgesteld in het geografische gebied dat door het draadloze LAN wordt bediend. Gebruikelijk is dat een toegangsorgaan een klein gebied bedient dat Cell 20 wordt genoemd, en een straal heeft tussen 10 en 100 meter.

Voor het bedienen van een enigszins uitgebreid verzorgingsgebied is derhalve de toepassing van meerdere toegangsorganen noodzakelijk. Onderling zijn deze toegangsorganen verbonden door middel van op zichzelf bekende netwerktechnieken die al 25 dan niet bedraad kunnen zijn. Een voorbeeld hiervan is de ethernet-infrastructuur.

Het datacommunicatienetwerk dat voorwerp vormt van de huidige uitvinding, omvat ten minste één draadloos local area network, en kan verder bedraad zijn uitgevoerd voor kop-30 peling aan al dan niet verdere virtuele local area networks, bijvoorbeeld volgens de IEEE 802.IQ standaard voor virtuele LANs. Wanneer in een dergelijk datacommunicatienetwerk de mogelijkheid van toepassing van meerdere draadloze local area networks wordt voorzien, ontstaat een probleem dat besloten 35 ligt in de aard van de draadloze communicatie. Dergelijke draadloze communicatie verloopt immers via de ether, zodat ·?n o r?. $ 1 m 2 wanneer computers uit verschillende local area networks zich in hetzelfde geografische gebied bevinden, de handhaving van de integriteit van het berichtenverkeer in de desbetreffende local area networks, volgens de stand van de techniek zeer 5 moeilijk is.

Om te voorzien in dit probleem zijn diverse oplossingen denkbaar. Enerzijds kan het aantal toegangsorganen gedupliceerd worden in overeenstemming met het aantal local area networks dat in een bepaald bedieningsgebied aanwezig 10 is, echter dit is zeer kostbaar en inefficiënt in het gebruik van de beschikbare zendfrequenties. Een andere oplossing is ! om niet het aantal toegangsorganen uit te breiden, maar be- i perkingen te stellen aan de mobiliteit van de computers beho- I rende tot local area networks. Dit is echter geen probleem- 15 oplossing, maar een probleemvermijding. Ook is mogelijk om af ί te zien van kleinere local area networks en het systeem in te : richten als een integraal netwerk. Dan treedt weliswaar het gesignaleerde probleem niet op, maar ontstaan problemen met betrekking tot de beveiliging van het berichtenverkeer, en 20 neemt de beheersproblematiek van het systeem exponentieel toe. Dienovereenkomstig gaan de prestaties van het systeem achteruit omdat informatie welke voor een beperkt aantal computers bestemd is, dan naar iedereen wordt verstuurd.

De uitvinding beoogt te voorzien in een systeem 25 waarin het datacommunicatienetwerk bruikbaar is wanneer daarvan meerdere draadloze LANs deel moeten kunnen uitmaken, zonder dat dit de beheersingsproblematiek van het berichtenverkeer in het systeem overmatig belast of concessies nodig zijn aan de mobiliteit van de diverse computergebruikers die in 30 een draadloos LAN zijn opgenomen.

Volgens de uitvinding wordt daartoe het datacommuni-. . catienetwerk zo ingericht, dat het ten minste ene draadloze LAN virtueel is uitgevoerd en dat het berichtenverkeer met de tot dat LAN behorende computers geïndividualiseerd is door 35 versleuteling van de tussen de computers en de toegangsorganen uitgewisselde informatie onder toepassing van een voor . i ieder LAN unieke sleutel.

~ ΐ In een voorkeursuitvoeringsvorm is daarbij voorzien r in een voor iedere computer unieke sleutel. Op deze wijze * n 5 0*-- 3 zijn punt-tot-punt-dataverbindingen mogelijk tussen de diverse draadloos in het netwerk opgenomen computers en de toe-gangsorganen. Hiertoe kunnen dataversleutelingstechnieken worden toegepast die algemeen bekend zijn uit de literatuur.

5 De enige eis die daarbij gesteld wordt, is dat de sleutels die worden toegepast, geschikt zijn om de individuele data-verbindingen tussen de respectievelijke computers en de toe-gangsorganen van elkaar te onderscheiden. Met de voorziening van deze sleutels kunnen de respectievelijke toegangsorganen 10 zo zijn ingericht dat deze herkennen tot welk virtueel LAN of virtuele LANs zij behoren, alsmede tot welk LAN de computers behoren die berichten zenden en/of ontvangen naar en van die toegangsorganen. De diverse sleutels kunnen voor ieder LAN voorafbepaald worden.

15 In een bepaalde uitvoeringsvorm is het echter voor delig dat het datacommunicatienetwerk is ingericht voor het genereren van de unieke sleutel op het moment dat berichtenverkeer tussen één of meer computers uit een LAN en het netwerk tot stand komt. Dit heeft voordelen uit oogpunt van be-20 heersbaarheid,

Een geschikte realisatievorm die omgeven is met de nodige waarborgen voor wat betreft authenticatie van het berichtenverkeer is erdoor gekenmerkt dat de generatie van de unieke sleutel geschiedt met een op zichzelf bekend public-25 key algoritme; zie W. Diffie and M.E. Heilman, "New

Directions in Cryptography", IEEE Transactions on Information Theory, v.IT-22, n. 6, Nov 1976, pp. 644-654.

Het is voordelig dat de toegangsorganen onderling gekoppeld zijn met op zichzelf bekende bedrade netwerkverbin-30 dingen. Echter, dit is niet een vereiste; de netwerkverbindingen tussen de diverse toegangsorganen kunnen ook draadloos zijn uitgevoerd.

Voor het beperken van de belasting die het berichtenverkeer in het datacommunicatienetwerk volgens de uitvin-35 ding vormt, is het wenselijk dat ieder toegangsorgaan een filterorgaan heeft voor het verwijderen van informatie die gericht is tot een computer van een ander LAN dan in het be-dieningsgebied van dat toegangsorgaan aanwezig is, of afkomstig is van een computer van een eerste LAN en gericht tot 4 een computer van een tweede LAN. Hiermee wordt bovendien de virtuele sterstructuur van het netwerk gewaarborgd.

Het is uit een oogpunt van veiligheid van het berichtenverkeer wenselijk dat het filterorgaan is ingericht 5 voor de verwijdering uit het berichtenverkeer van voorafbe-

J

paalde typen informatie, bijvoorbeeld informatie die geclassificeerd kan worden als inbreukmakend op de veiligheid of integriteit van een netwerk of onderdeel daarvan. Dit kan met name van belang zijn bij informatie-uitwisseling in een 10 WINDOWS-NT omgeving.

^ De beheersbaarheid van het systeem is er verder mee gediend dat iedere in een draadloos LAN opgenomen computer voorzien is van een orgaan voor weigering van door andere computers verzonden berichten. Op deze wijze wordt effectief 15 een sterstructuur verschaft tussen de diverse toegangsorganen en de met deze toegangsorganen communicerende computers.

Het is voorts wenselijk dat iedere computer voorzien is van een of meer verdere sleutels voor codering en decode-'ting van het berichtenverkeer dat bestemd is voor een groep 20 computers of voor alle computers die in hetzelfde virtuele LAN zijn opgenomen. Hiermee wordt in het virtuele LAN naast i , de punt-tot-punt-databerichtencommunicatie op individuele I basis, tevens voorzien in de mogelijkheid van multipoint-be- richtencommunicatie en broadcast-berichtencommunicatie.

I 25 Het toepassen van de uitvinding is mogelijk onder gebruikmaking van de standaard IEEE 802.11-technologie voor draadloze local area networks. Door de toepassing van de uitvinding worden de onderscheidenlijke virtuele draadloze local area networks van elkaar onderscheiden en gescheiden, zonder 30 dat risico bestaat dat berichtenverkeer elders dan te bestemder plaatse terechtkomt. Voor de computergebruikers binnen de diverse local area networks is het met de uitvinding mogelijk 7- om zich vrijelijk te verplaatsen binnen het verspreidingsge- .- 5:= bied dat bediend wordt door de diverse toegangsorganen.

35 De uitvinding zal nu nader worden toegelicht aan de = — hand van een enkele tekening, welke schematisch het datacom- ' municatienetwerk volgens de uitvinding toont.

i.....3 Het getoonde datacommunicatienetwerk is geschikt * :?uh voor informatie-uitwisseling tussen computers die elk met de r >« r rm ~ -Χ.Ξ3 r 1 ’ Π :.’ .··< \ï s - ^ ï Jtua o w: 5 benaming "station" zijn aangeduid. Het getoonde datacommunicatienetwerk omvat althans in het getoonde deel twee virtuele local area networks, aangeduid met VLAN 1 en VLAN 2. De virtuele local area networks VLAN 1 en VLAN 2 zijn gekoppeld met 5 het netwerk via berichtenverkeer via de ether, dat plaatsvindt met behulp van een toegangsorgaan in de figuur aangeduid met "access point". Volgens de uitvinding is het berichtenverkeer tussen een dergelijke access point en de computers "station" met een in het getoonde geval per computer unieke 10 sleutelcode versleuteld, en is zodoende voorzien in een geïndividualiseerde verbinding tussen iedere computer "station" en het desbetreffende toegangsorgaan "access point".

Ook is mogelijk een dergelijke unieke sleutelcode slechts per LAN toe te passen, zodat alle computers van dat LAN dan kun-15 nen deelnemen aan het berichtenverkeer. De bepaling van de voor ieder LAN respectievelijk computer unieke sleutel geschiedt bijvoorbeeld vooraf. Ook is mogelijk de bepaling van die unieke sleutels op te schorten tot het moment dat berichtenverkeer tussen één of meer computers uit een LAN en het 20 netwerk tot stand gaat komen. De generatie kan dan geschieden door middel van een op zichzelf public-key algoritme. Dergelijke public-key algoritmen zijn voor de vakman bekend en behoeven hier niet verder te worden toegelicht.

In de figuur is verder getoond dat de respectieve-25 lijke toegangsorganen "access point" onderling gekoppeld zijn met op zichzelf bekende bedrade netwerkverbindingen aangeduid met "wired backbone". Voor het effectieve gebruik van het datacommunicatienetwerk zonder overmatige belasting door middel van excessief berichtenverkeer is ieder toegangsorgaan "ac-30 cess point" voorzien van een filterorgaan voor het verwijderen van informatie die gericht is tot een computer van een ander LAN VLAN 1 respectievelijk VLAN 2 dan in het desbetreffende bedieningsgebied (Cell A of Cell B) van dat toegangsorgaan aanwezig is. Het filterorgaan is tevens ingericht voor 35 het verwijderen van informatie die afkomstig is van een eerste LAN en gericht tot een computer van een tweede LAN. Een logische scheiding van de VLANs is het resultaat. Ook kan dit filterorgaan voorzien in de verwijdering van specifieke typen berichten. Overigens is iedere computer "station" zo inge- f f '' , - ' ' 6 richt dat deze een orgaan heeft voor weigering van door andere computers "station" verzonden berichten. Op deze wijze wordt een sterstructuur aan het informatienetwerk gegeven.

Tengevolge van het virtuele en draadloze karakter 5 van de in het netwerk volgens de uitvinding toegepaste local i area networks kan zonder dat de integriteit van een local J area network verloren gaat, een computer "station" dat van ; local area network VLAN 2 deel uitmaakt, van het ene bedie- ; ningsgebied Cell A naar een door een ander toegangsorgaan 10 "access point" verzorgd bedieningsgebied Cell B verplaatst worden. Met de uitvinding wordt zodoende het voordeel bereikt dat ondanks de toepassing van draadloze computers "station" in samenhang met virtuele local area networks, de voordelen die met deze laatste techniek verbonden zijn, te weten een 15 verbeterde beheersbaarheid van het berichtenverkeer in het datacommunicatienetwerk, en zonder concessies aan de mobiliteit van de in het netwerk gebruikte computers, gerealiseerd Γ ] worden. De snelheid van het berichtenverkeer in dit netwerk, ' j en de logische scheiding van de LANs is daarbij gewaarborgd - 20 door de filterorganen die zijn opgenomen in de diverse toe- gangsorganen die deel uitmaken van het netwerk.

Ê^fSi * .......veeree * Tï^ïi * *; .. 1

Claims

1. Datacommunicatienetwerk geschikt voor informatie-uitwisseling tussen computers, welk netwerk ten minste een althans draadloos LAN (local area network) omvat en in een bedieningsgebied verspreid opgestelde toegangsorganen (access 5 points) voor koppeling van de in het ten minste ene LAN opgenomen computers aan het netwerk, met het kenmerk, dat het ten minste ene draadloze LAN virtueel is uitgevoerd en dat het berichtenverkeer met de tot dat LAN behorende computers geïndividualiseerd is door versleuteling van de tussen de cora- 10 puters en de toegangsorganen uitgewisselde informatie onder toepassing van een voor ieder LAN unieke sleutel.

2. Datacommunicatienetwerk volgens conclusie 1, met het kenmerk, dat voorzien is in een voor iedere computer unieke sleutel.

3. Datacommunicatienetwerk volgens conclusie 1 of 2, met het kenmerk, dat deze is ingericht voor het genereren van de unieke sleutel op het moment dat berichtenverkeer tussen één of meer computers uit een LAN en het netwerk tot stand komt.

4. Datacommunicatienetwerk volgens conclusie 3, met het kenmerk, dat de generatie van de unieke sleutel geschiedt met een op zichzelf bekend public-key algoritme.

5. Datacommunicatienetwerk volgens een der conclusies 1-4, met het kenmerk, dat de toegangsorganen onderling 25 gekoppeld zijn met op zichzelf bekende bedrade netwerkverbindingen .

6. Datacommunicatienetwerk volgens een der conclusies 1-5, met het kenmerk, dat ieder toegangsorgaan een fil-terorgaan heeft voor het verwijderen van informatie die ge- 30 richt is tot een computer van een ander LAN dan in het bedieningsgebied van dat toegangsorgaan aanwezig is, of afkomstig is van een computer van een eerste LAN en gericht tot een computer van een tweede LAN.

7. Datacommunicatienetwerk volgens conclusie 6, met 35 het kenmerk, dat het filterorgaan is ingericht voor de verwijdering uit het berichtenverkeer van voorafbepaalde typen informatie.

8. Datacommunicatienetwerk volgens een der conclusies 1-7, met het kenmerk, dat iedere in een draadloos LAN ! opgenomen computer voorzien is van een orgaan voor weigering i i 5 van door andere computers verzonden berichten, ί

9. Datacommunicatienetwerk volgens een der voorgaan de conclusies, met het kenmerk, dat iedere computer voorzien is van een of meer verdere sleutels voor codering en decodering van het berichtenverkeer dat bestemd is voor een groep 10 computers of voor alle computers die in hetzelfde virtuele LAN zijn opgenomen. •......] f |