專利名稱：用于將多個(gè)vlan組合到單個(gè)802.11ip多播域中的系統(tǒng)和方法
相關(guān)申請的交叉引用本申請是2001年9月21日遞交的美國申請No.09/953,820的部分繼續(xù)申請(CIP)，該美國申請No.09/953,820要求2000年11月22日遞交的美國臨時(shí)申請No.60/252,717的優(yōu)先權(quán)。
背景技術(shù)：
IEEE(電氣電子工程師學(xué)會(huì))802.11標(biāo)準(zhǔn)為允許用戶無線地連接到網(wǎng)絡(luò)并且訪問網(wǎng)絡(luò)中提供的基本服務(wù)提供了指導(dǎo)方針。此外，IEEE 802.11標(biāo)準(zhǔn)為經(jīng)由無線網(wǎng)絡(luò)發(fā)送的多播傳輸提供了指導(dǎo)方針。
IEEE 802標(biāo)準(zhǔn)還提供了針對無線網(wǎng)絡(luò)中的虛擬局域網(wǎng)或虛擬LAN(VLAN)的使用的協(xié)議。虛擬聯(lián)網(wǎng)指的是交換機(jī)和路由器的如下能力在物理網(wǎng)絡(luò)基礎(chǔ)設(shè)施的頂部配置允許網(wǎng)絡(luò)內(nèi)的LAN網(wǎng)段的任意集合被組合到一個(gè)自治的用戶群組中以顯現(xiàn)為單個(gè)局域網(wǎng)(LAN)的邏輯拓?fù)洹?br> VLAN在帶寬的有效利用、靈活性、性能和安全性方面提供了極大的益處。VLAN技術(shù)通過從邏輯上將網(wǎng)絡(luò)分段成不同的“廣播域”而起作用，由此僅在為同一VLAN指定的端口之間交換分組。因此，通過包含在同一VLAN內(nèi)發(fā)起于一個(gè)特定LAN并僅去往其他LAN的流量，被交換的虛擬網(wǎng)絡(luò)避免了帶寬的浪費(fèi)。傳統(tǒng)上，分組通常被轉(zhuǎn)發(fā)到不需要它們的LAN，這是傳統(tǒng)的橋接/交換網(wǎng)絡(luò)中的固有缺陷。
VLAN方法還提高了可擴(kuò)展性，尤其是在支持廣播或多播密集型協(xié)議以及使網(wǎng)絡(luò)中分組泛濫的其他應(yīng)用的LAN環(huán)境中。
因特網(wǎng)工程任務(wù)組(IETF)已經(jīng)公布了一種因特網(wǎng)群組管理協(xié)議(IGMP)標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)定義了用于將多個(gè)IP節(jié)點(diǎn)組織到一個(gè)IP多播群組中的方法。IP多播群組是利用IP多播地址來標(biāo)識(shí)的。IP節(jié)點(diǎn)通過在其本地子網(wǎng)上發(fā)送IGMP成員報(bào)告來加入IP多播群組。當(dāng)IP多播路由器接收到IP多播分組時(shí)，它只將該分組轉(zhuǎn)發(fā)到存在由目的地IP多播地址標(biāo)識(shí)的IP多播群組的成員的其它子網(wǎng)上。
傳統(tǒng)上，用于無線網(wǎng)絡(luò)的802.11標(biāo)準(zhǔn)假設(shè)一個(gè)客戶端支持單個(gè)群組密鑰(例如VLAN)。遵循802.11i的AP可被配置為向802.11i臺(tái)站發(fā)送群組密鑰。根據(jù)IEEE標(biāo)準(zhǔn)，該群組密鑰傳統(tǒng)上在EAPOL密鑰消息中被發(fā)送。
另外，EAPOL密鑰消息可以包含標(biāo)識(shí)群組密鑰的整數(shù)密鑰ID。802.11i發(fā)送器將用于加密所發(fā)送的802.11多播幀的密鑰的密鑰ID輸入到802.11幀頭部的密鑰ID字段中。802.11接收機(jī)使用該密鑰ID選擇正確密鑰來解密該多播幀。
根據(jù)傳統(tǒng)方法，“第2層廣播域”體系結(jié)構(gòu)可被配置為對應(yīng)于單個(gè)因特網(wǎng)協(xié)議(IP)子網(wǎng)或VLAN。一個(gè)IP多播域可被配置為跨越多個(gè)子網(wǎng)。因此，在多個(gè)VLAN上的以太網(wǎng)和802.11臺(tái)站可能是同一多播群組的成員。
802.11接入點(diǎn)(AP)可被連接到VLAN中繼鏈路上的以太網(wǎng)LAN，由此在AP以太網(wǎng)鏈路上啟用的每個(gè)VLAN可能對應(yīng)于一個(gè)802.11廣播域。在傳統(tǒng)系統(tǒng)中，AP被配置為針對每個(gè)802.11廣播域使用不同的一組802.11廣播加密密鑰。這些特定于廣播域的加密密鑰禁止在第一廣播域中的802.11臺(tái)站接收在第二廣播域上發(fā)送的廣播幀。
目前，在這種基于VLAN的廣播域和IP多播域之間不存在區(qū)別。因此，AP通常將接收到在其以太網(wǎng)鏈路上的同一IP多播分組的多個(gè)拷貝(例如針對每個(gè)其各自的多播群組處于活動(dòng)狀態(tài)的VLAN有一個(gè)拷貝)。因此，AP通常將同一IP多播分組的多個(gè)拷貝發(fā)送到相關(guān)聯(lián)的802.11臺(tái)站。
冗余的多播傳輸在802.11鏈路上是個(gè)問題。無用的多播傳輸可能過分消耗802.11帶寬。如果使用簡單的速率限制(例如在當(dāng)前的AP350實(shí)現(xiàn)方式中使用的)來控制用于多播傳輸?shù)?02.11帶寬量，則有用和無用的多播幀都可能被丟棄。
與傳統(tǒng)方法相關(guān)聯(lián)的另一問題在于，如果存在與一個(gè)AP相關(guān)聯(lián)的單個(gè)省電臺(tái)站，則所有多播幀都被緩沖，并在802.11信標(biāo)后立即被發(fā)送。因此，優(yōu)先級(jí)較高的服務(wù)質(zhì)量(QoS)單播傳輸可能被延遲一段時(shí)間，這段時(shí)間為多播傳遞周期的持續(xù)時(shí)間。在多播傳遞周期的持續(xù)時(shí)間中省電臺(tái)站必須保持喚醒以接收多播傳輸，因此，多播傳輸會(huì)縮短省電臺(tái)站中電池的壽命。
因此，需要這樣的系統(tǒng)和方法，該系統(tǒng)和方法可以被合適地配置為將多個(gè)VLAN組合到單個(gè)802.11 IP多播域中以協(xié)調(diào)多播幀的邏輯傳輸和傳遞，從而使802.11鏈路上的復(fù)制多播傳輸被禁止，并且使多播傳遞周期的持續(xù)時(shí)間縮短。另外，還存在對可以被合適地配置為為IP多播和廣播傳輸生成不同密鑰的系統(tǒng)和方法的需求。

發(fā)明內(nèi)容
這里公開和要求保護(hù)的本發(fā)明在其一個(gè)方面中包括用于組織與無線網(wǎng)絡(luò)(例如IEEE 802.11)相對應(yīng)的虛擬局域網(wǎng)(VLAN)的系統(tǒng)和方法。首先，在一個(gè)實(shí)施例中，本系統(tǒng)和方法可被配置為識(shí)別網(wǎng)絡(luò)上的多個(gè)虛擬局域網(wǎng)。交換機(jī)可被編程以執(zhí)行虛擬局域網(wǎng)的識(shí)別。一旦識(shí)別出虛擬局域網(wǎng)，系統(tǒng)就可被合適地配置為將識(shí)別出的虛擬局域網(wǎng)組合到網(wǎng)絡(luò)上的多播域中。
其次，系統(tǒng)可被配置為指定一個(gè)虛擬局域網(wǎng)作為多播域中用于接收和發(fā)送多播消息的多播虛擬局域網(wǎng)。此外，系統(tǒng)可以向多播域分配關(guān)聯(lián)臺(tái)站，由此臺(tái)站各自的虛擬局域網(wǎng)被包括到多播域中。
接入點(diǎn)截取由無線臺(tái)站發(fā)送的IGMP成員報(bào)告。接入點(diǎn)將成員報(bào)告中繼到為無線臺(tái)站的多播域指定的多播VLAN上。因此，IP多播路由器將針對相應(yīng)IP多播流的分組轉(zhuǎn)發(fā)到指定的多播VLAN上。
IP多播分組將被連接到多播虛擬局域網(wǎng)的接入點(diǎn)所接收。多播消息可被接入點(diǎn)發(fā)送到臺(tái)站的多播域上的關(guān)聯(lián)臺(tái)站。接入點(diǎn)可以丟棄在不是指定的多播VLAN的VLAN上接收到的多播分組。
根據(jù)這里給出的實(shí)施例，系統(tǒng)可被配置為建立用于標(biāo)記和加密在網(wǎng)絡(luò)上傳送的多播消息的多播密鑰。另外，可建立與多播密鑰相對應(yīng)的多播密鑰標(biāo)識(shí)元素。該多播密鑰標(biāo)識(shí)元素可輔助多播消息的接收，以選擇適當(dāng)?shù)亩嗖ッ荑€來解密接收到的多播消息。在傳輸前，多播密鑰標(biāo)識(shí)元素可被添加到將被發(fā)送到臺(tái)站的多播消息的頭部。
同樣，系統(tǒng)可被配置為建立用于標(biāo)記和加密在網(wǎng)絡(luò)上傳送的廣播消息的廣播密鑰。另外，可建立與廣播密鑰相對應(yīng)的廣播密鑰標(biāo)識(shí)元素。該廣播密鑰標(biāo)識(shí)元素可輔助廣播消息的接收，以選擇適當(dāng)?shù)膹V播密鑰來解密接收到的廣播消息。在傳輸前，廣播密鑰標(biāo)識(shí)元素可被添加到將被發(fā)送到臺(tái)站的廣播消息的頭部。
在另一實(shí)施例中，系統(tǒng)可以判斷多播消息是否必須被多播域中的臺(tái)站所接收。如果存在至少一個(gè)臺(tái)站正在參與由消息的目的地多播地址標(biāo)識(shí)的多播群組，則必須由多播域中的臺(tái)站接收該消息。如果消息不一定被多播域中的臺(tái)站所接收，則系統(tǒng)可以丟棄多播消息。


將會(huì)意識(shí)到，圖中所示的元件邊界(例如方框、方框組或其他形狀)代表邊界的一個(gè)示例。本領(lǐng)域普通技術(shù)人員將意識(shí)到，一個(gè)元件可被設(shè)計(jì)為多個(gè)元件，或者多個(gè)元件可被設(shè)計(jì)為一個(gè)元件。
為了更全面理解本發(fā)明及其優(yōu)點(diǎn)，現(xiàn)在結(jié)合附圖來參考以下描述，在附圖中圖1示出根據(jù)所公開的實(shí)施例用于輔助到與多個(gè)VLAN相關(guān)聯(lián)的多個(gè)無線客戶端的多播傳輸?shù)木W(wǎng)絡(luò)框圖；以及圖2示出根據(jù)所公開的實(shí)施例用于概述與多播傳輸相對應(yīng)的各個(gè)實(shí)體之間的信息交換的方法的流程圖。
具體實(shí)施例方式
以下包括可被用于實(shí)施的落入本系統(tǒng)范圍內(nèi)的各種實(shí)施例和/或組件形式的示例。當(dāng)然，這些示例并非限制性的，并且在不脫離本發(fā)明的精神和范圍的情況下，可以實(shí)現(xiàn)其他實(shí)施例。
用于無線網(wǎng)絡(luò)的電氣電子工程師學(xué)會(huì)(IEEE)802.11標(biāo)準(zhǔn)為允許用戶無線地連接到網(wǎng)絡(luò)并且訪問網(wǎng)絡(luò)中提供的基本服務(wù)提供了指導(dǎo)方針。此外，IEEE 802.11標(biāo)準(zhǔn)提供了用于單播和多播傳輸?shù)闹笇?dǎo)方針和協(xié)議。
除非這里另外定義，否則在本說明書中的術(shù)語應(yīng)該按在IEEE 802.11標(biāo)準(zhǔn)及其相應(yīng)的草案和修訂中定義或通常使用的那樣來解釋。據(jù)此IEEE802.11標(biāo)準(zhǔn)(包括可應(yīng)用的草案和修訂)的內(nèi)容通過參考被整體并入該說明書中。
簡要地描述本系統(tǒng)的一個(gè)實(shí)施例，該實(shí)施例提供了被合適地配置為將多個(gè)VLAN組合到單個(gè)802.11多播域中，從而使單個(gè)多播消息可被發(fā)送到該多播域的訂戶的802.11網(wǎng)絡(luò)和相應(yīng)協(xié)議。
根據(jù)本系統(tǒng)和方法的一個(gè)實(shí)施例，將意識(shí)到，可以以與當(dāng)前根據(jù)IEEE 802.11標(biāo)準(zhǔn)生成加密密鑰的方式相同的方式來建立唯一的多播和廣播加密密鑰。當(dāng)然，將意識(shí)到，根據(jù)本系統(tǒng)和方法，可以使用替換的方法和加密技術(shù)來建立用于多播傳輸?shù)拿荑€。而且，將意識(shí)到，由本發(fā)明預(yù)期的加密密鑰的安全性也可以通過根據(jù)IEEE 802.11標(biāo)準(zhǔn)的核實(shí)(例如消息完整性碼)來保護(hù)。
所公開的系統(tǒng)和提出的方法的一個(gè)實(shí)施例推斷在接入點(diǎn)(AP)和已定義的客戶端或臺(tái)站的多播群組之間已經(jīng)建立了信任關(guān)系。以下實(shí)施例將針對802.11網(wǎng)絡(luò)中作為多播傳輸?shù)陌l(fā)送者的AP和作為接收者的無線客戶端(PC)來描述。
圖1示出了本系統(tǒng)100的一個(gè)實(shí)施例的簡化系統(tǒng)組件圖。圖1所示的系統(tǒng)組件一般代表系統(tǒng)100并且可能具有包括在任意系統(tǒng)體系結(jié)構(gòu)中的任何所需配置。
現(xiàn)在參考圖1，系統(tǒng)100的實(shí)施例一般包括無線客戶端110、115、120、125、130、135，它們被合適地配置和連接以經(jīng)由接入點(diǎn)(AP)145訪問802.11網(wǎng)絡(luò)140上的服務(wù)和接收802.11網(wǎng)絡(luò)140上的多播傳輸。將意識(shí)到，無線客戶端110、115、120、125、130、135可以是能夠經(jīng)由無線網(wǎng)絡(luò)發(fā)送和/或接收數(shù)據(jù)分組的任意組件，例如以下多種無線設(shè)備中的任意一種，包括但不局限于，具有適合于與有線網(wǎng)絡(luò)進(jìn)行無線通信的卡總線(Cardbus)網(wǎng)絡(luò)適配器的膝上型/筆記本便攜式計(jì)算機(jī)(如圖所示)、具有合適的無線網(wǎng)絡(luò)適配器的電子板、包含合適的用于與有線網(wǎng)絡(luò)通信的無線網(wǎng)絡(luò)適配器的手持設(shè)備或個(gè)人數(shù)字助理等等。
繼續(xù)參考圖1，其示出本系統(tǒng)和方法的實(shí)施例還可以包括交換機(jī)150和認(rèn)證服務(wù)器(AS)155。在基本IEEE 802.11實(shí)現(xiàn)方式和本實(shí)施例中，交換機(jī)150可用于提供置于有線網(wǎng)絡(luò)160上的多個(gè)網(wǎng)絡(luò)設(shè)備之間的互連，以及可選地提供多個(gè)局域網(wǎng)和AP之間的互連(未示出)。
另外，交換機(jī)150可被合適地用于標(biāo)識(shí)和配置VLAN。換言之，交換機(jī)150可被合適地用于在物理網(wǎng)絡(luò)基礎(chǔ)設(shè)施頂部配置虛擬邏輯拓?fù)?，該虛擬邏輯拓?fù)涫苟鄠€(gè)邏輯子網(wǎng)和相應(yīng)的廣播域能夠存在于單個(gè)物理有線網(wǎng)絡(luò)160上。
AS 155可以置于有線網(wǎng)絡(luò)160上以向需要認(rèn)證服務(wù)的那些網(wǎng)絡(luò)實(shí)體提供這種服務(wù)。當(dāng)然，將意識(shí)到，AS 155和相應(yīng)功能可以作為獨(dú)立組件采用，或被組合在另一現(xiàn)有組件內(nèi)。例如，AS 155的功能可被包括在交換機(jī)150內(nèi)或AP 145內(nèi)。
如圖1所示，AP 145可被配置為提供專用有線網(wǎng)絡(luò)160和無線客戶端110、115、120、125、130、135之間的通信過渡點(diǎn)。根據(jù)本系統(tǒng)和方法，將意識(shí)到，AP 145可被配置為利用多種本領(lǐng)域公知傳統(tǒng)算法中的任意一種對多播群組密碼套件進(jìn)行加密。
在實(shí)施例中，單獨(dú)定義的VLAN 165、170、175可被配置為對無線客戶端110、115、120、125、130、135進(jìn)行分組。如圖所示，第一VLAN1165可虛擬地包括多個(gè)無線客戶端110、115。同樣，第二VLAN2 170可以虛擬地包括多個(gè)無線客戶端120、125。最后，第三VLAN3 175可以虛擬地包括多個(gè)無線客戶端130、135。
雖然圖1示出特定數(shù)目的被操作配置為與AP 145通信的VLAN(165、170、175)，但是將意識(shí)到，系統(tǒng)可被定義為包括任意數(shù)目的被配置為接收來自單個(gè)AP的多播或廣播傳輸?shù)腣LAN。還將意識(shí)到，由網(wǎng)絡(luò)定義的VLAN可以包括任意數(shù)目的無線客戶端。
在操作中，根據(jù)AP管理員進(jìn)行動(dòng)作的交換機(jī)150可被合適地配置為將多個(gè)VLAN(例如165、170)組合到單個(gè)IP多播域180中。如圖1所示，IP多播域180可被配置為包括任意數(shù)目的預(yù)定VLAN。例如，IP多播域180可被配置為包括VLAN1 165和VLAN2 170，如圖所示。
其次，AP管理員可以從在AP上啟用的VLAN(165、170、175)的集合中任意地選擇一個(gè)VLAN以使其充當(dāng)該域的多播VLAN。因此，例如，VLAN1 165可被任意地選出，以被有利地配置為充當(dāng)與多播域180相對應(yīng)的多播VLAN。當(dāng)然，多播VLAN的選擇可以是任意的或用戶定義的，而不脫離本發(fā)明的范圍。在一個(gè)實(shí)施例中，可以在AP中為每個(gè)多播域指定不同的多播VLAN。在另一實(shí)施例中，可以為多個(gè)多播域指定單個(gè)VLAN。
其次，如果IP多播域180包含相關(guān)聯(lián)的802.11臺(tái)站(例如110、115、120、125、130、135)的預(yù)定VLAN(例如在父AP中綁定到該臺(tái)站的SSID的VLAN)，則父AP 145可被合適地配置為將該臺(tái)站分配給IP多播域180。
例如，由于本實(shí)施例將VLAN1 165定義為多播VLAN，因此無線客戶端110、115可被看作與多播域180相關(guān)聯(lián)。另外，由于VLAN2 170被包括在已定義的多播域180中，因此系統(tǒng)可被配置為將附加的多播無線客戶端120、125關(guān)聯(lián)到多播域180。另一方面，由于多播域180沒有被定義為包括VLAN3 175，因此無線客戶端130、135將不被分配給多播域180。
將意識(shí)到，802.11無線客戶端配置有服務(wù)集標(biāo)識(shí)符(SSID)。802.11客戶端可以與被配置有匹配服務(wù)集標(biāo)識(shí)符的接入點(diǎn)相關(guān)聯(lián)。在另一實(shí)施例中，無線客戶端的服務(wù)集標(biāo)識(shí)符被用于在父接入點(diǎn)中確定客戶端的IP多播域。無線客戶端可被綁定到單個(gè)遠(yuǎn)程歸屬子網(wǎng)或遠(yuǎn)程歸屬VLAN，即使在其在不同子網(wǎng)上的接入點(diǎn)之間進(jìn)行無縫漫游時(shí)也可如此。如果這樣的客戶端漫游到未在數(shù)據(jù)鏈路層連接到其歸屬VLAN的接入點(diǎn)，則該客戶端可在接入點(diǎn)中被綁定到與其SSID相對應(yīng)的本地多播域。在此情況下，IP多播消息被IP多播路由基礎(chǔ)設(shè)施轉(zhuǎn)發(fā)到為本地多播域指定的多播VLAN?？蛻舳诉€可以被綁定到與其遠(yuǎn)程歸屬VLAN相對應(yīng)的廣播域。來自不同遠(yuǎn)程歸屬VLAN的客戶端可在AP上被綁定到同一本地多播域。
單個(gè)廣播域或VLAN可被分配給多播域。例如，在圖1中，VLAN3175可被分配給第二多播域。如果多播域包含單個(gè)VLAN并且該VLAN也是指定的多播VLAN，則將意識(shí)到，單個(gè)群組密鑰可以既充當(dāng)廣播群組密鑰，又充當(dāng)多播群組密鑰。
繼續(xù)描述實(shí)施例，在操作中，父AP 145可被配置為截取來自關(guān)聯(lián)802.11臺(tái)站(110、115、120、125)的因特網(wǎng)群組多播協(xié)議(IGMP)報(bào)告，并將該IGMP報(bào)告中繼到針對臺(tái)站的IP多播域180選擇的多播VLAN 165上。將意識(shí)到，IGMP報(bào)告被用于建IP多播群組的群組成員。
將意識(shí)到，任意在多播VLAN 165上接收到IGMP報(bào)告的IP多播路由器都將被合適地配置為將與各個(gè)多播群組相對應(yīng)的IP多播分組轉(zhuǎn)發(fā)到多播VLAN 165上。結(jié)果，父AP 145將在單個(gè)多播VLAN 165上接收到針對IP多播域180的所有IP多播分組。
當(dāng)802.11臺(tái)站漫游到新的父接入點(diǎn)時(shí)，任意以該臺(tái)站作為成員的多播群組都必須在該父AP中被擴(kuò)展到該臺(tái)站的已分配的IP多播域中。在一個(gè)實(shí)施例中，父AP可以向臺(tái)站發(fā)送IGMP一般查詢消息以請求從臺(tái)站發(fā)送IMP成員報(bào)告。由該臺(tái)站發(fā)送的任意成員報(bào)告隨后被中繼到為該臺(tái)站的多播域指定的多播VLAN上。在另一實(shí)施例中，上下文傳輸協(xié)議可被用于向新的父AP傳輸該臺(tái)站的群組成員信息；然后父AP可以在為該臺(tái)站的已分配的多播域指定的多播VLAN上的代理(proxy)中生成該臺(tái)站的IGMP成員報(bào)告。
根據(jù)實(shí)施例和較早的系統(tǒng)，AP 145可被合適地配置為為每個(gè)基于VLAN的廣播域165、170、175創(chuàng)建不同的一組廣播群組802.11加密密鑰。另外，根據(jù)本發(fā)明，AP 145可被合適地用于為每個(gè)IP多播域180創(chuàng)建不同的一組IP多播群組802.11加密密鑰。
如圖1所示，父AP 145可被配置為將包含第一密鑰ID的IP多播群組密鑰和包含第二密鑰ID的廣播群組密鑰傳遞到每個(gè)與多播域相關(guān)聯(lián)的客戶端(例如110、115、120、125)。將會(huì)理解，不與多播域180相關(guān)聯(lián)的客戶端(例如130、135)將只接收廣播群組密鑰和相應(yīng)的密鑰ID。
IP多播群組密鑰可被用于加密/解密屬于該臺(tái)站的IP多播域180的802.11幀。另一方面，廣播群組密鑰可被用于加密/解密屬于該臺(tái)站的特定廣播域或VLAN(165、170、175)的802.11幀。當(dāng)然，將意識(shí)到，可以以與當(dāng)前根據(jù)IEEE 802.11標(biāo)準(zhǔn)處理加密密鑰的方式相同的方式來建立該加密密鑰。
對于每個(gè)廣播域來說，群組密鑰或群組密鑰的集合是不同的；但是，同一廣播密鑰ID可被用于同一接入點(diǎn)上的多個(gè)廣播域。同樣，對于每個(gè)多播域來說，群組密鑰或群組密鑰的集合是不同的；但是，同一多播密鑰ID可被用于同一接入點(diǎn)上的多個(gè)多播域。
繼續(xù)描述圖1的實(shí)施例，在經(jīng)由多播VLAN接收到以太網(wǎng)IP多播幀之后，父AP 145可被配置為向相應(yīng)IP多播域180中的802.11臺(tái)站(110、115、120、125)無線地發(fā)送幀。本系統(tǒng)和方法可能適合于利用針對域的IP多播群組密鑰對幀加密。
相應(yīng)地，可以在AP 145經(jīng)由802.11鏈路向無線臺(tái)站(例如110、115、120、125)發(fā)送幀之前，將IP多播群組密鑰ID輸入到802.11頭部中。在接收到多播群組密鑰ID之后，與IP多播群組相對應(yīng)的與802.11多播域180相關(guān)聯(lián)的臺(tái)站110、115、120、125可被配置為使用接收到的多播群組密鑰ID來選擇正確的密鑰，以便對幀進(jìn)行解密。將意識(shí)到，該多播群組密鑰ID和相應(yīng)的密碼術(shù)可以禁止非成員臺(tái)站(例如130、135)對幀解密。
當(dāng)然，將意識(shí)到，IP多播群組密鑰傳輸可被配置為受可能已利用已知的認(rèn)證協(xié)議被授權(quán)的消息完整性校驗(yàn)(MID)或其他信息元素的保護(hù)。
將意識(shí)到，父AP 145可被配置為丟棄在并非指定的多播VLAN的任意VLAN上接收到的任意以太網(wǎng)IP多播幀。當(dāng)然，父AP 145可被配置為根據(jù)IEEE 802.11協(xié)議來發(fā)送已利用針對基于VLAN的廣播域的廣播群組密鑰加密后的802.11鏈路上的其他以太網(wǎng)廣播幀和非IP多播幀。
將意識(shí)到，父AP 145可以維護(hù)每個(gè)多播域180的群組成員信息。如果在相應(yīng)的多播域中不存在作為由在指定的IP多播VLAN(165)上接收到的以太網(wǎng)IP多播幀中的目的地IP多播地址標(biāo)識(shí)的多播群組的成員的臺(tái)站，則父AP 145可以丟棄該以太網(wǎng)IP多播幀。
如圖2所示，示出了與本系統(tǒng)和方法相關(guān)聯(lián)的方法200的實(shí)施例。一般而言，圖2示出了用于建立和組合VLAN以及唯一的密鑰，以便組織和輔助經(jīng)由802.11無線網(wǎng)絡(luò)的多播傳輸?shù)倪^程。
所示元素指示“處理方框”并代表致使計(jì)算機(jī)或處理器執(zhí)行動(dòng)作和/或進(jìn)行判決的計(jì)算機(jī)軟件指令或指令組?？商鎿Q地，處理方框可以代表由功能上等同的電路執(zhí)行的功能和/或動(dòng)作，所述電路例如是數(shù)字信號(hào)處理器電路、專用集成電路(ASIC)或其他邏輯器件。該圖以及其他示出的圖沒有描述任意特定編程語言的語法。相反，該圖示出了本領(lǐng)域技術(shù)人員可以用于制造電路、生成計(jì)算機(jī)軟件或使用硬件和軟件的組合來執(zhí)行所示處理的功能信息。
將意識(shí)到，電子和軟件應(yīng)用可能涉及動(dòng)態(tài)和可變過程，因此所示方框可以按不同于所示順序的其他順序來執(zhí)行，并且/或者方框可以被組合或分離成多個(gè)組件。它們也可以使用各種編程方法來實(shí)現(xiàn)，例如機(jī)器語言、進(jìn)程的、面向?qū)ο蟮暮?或人工智能技術(shù)。前述內(nèi)容適用于這里描述的所有方法。
現(xiàn)在參考圖2，其示出了用于將多個(gè)VLAN組合到單個(gè)802.11 IP多播域中以使IGMP報(bào)告的傳輸呈流線型的過程的方法200的實(shí)施例的流程圖。方法200推斷在系統(tǒng)的所有組件(例如無線客戶端、AP、交換機(jī)、AS)之間已經(jīng)預(yù)先建立了信任關(guān)系。
最初，在方框210處，多個(gè)VLAN可被組合到單個(gè)“IP多播域”中。接下來，包括在預(yù)定的“IP多播域”中的單個(gè)VLAN可被有利地或任意地選為“多播VLAN”(方框215)。一旦選出了多播VLAN，相關(guān)聯(lián)的無線臺(tái)站就可被分配給該IP多播域(方框220)。
接下來，截取來自與該IP多播域相關(guān)聯(lián)的臺(tái)站的IGMP報(bào)告(方框225)。該截取暗示將IGMP報(bào)告重新定向到特定臺(tái)站的IP多播域的多播VLAN上。將意識(shí)到，IGMP報(bào)告被用于建立用于IP多播的群組成員關(guān)系。
為了提供傳輸?shù)陌踩?，可建立廣播和多播群組加密密鑰以及相應(yīng)的密鑰ID(方框230、235)。一旦建立了密鑰，密鑰就可被傳遞到廣播和多播群組中的相應(yīng)無線客戶端(方框240、245)。將意識(shí)到，多播密鑰將僅被發(fā)送到IP多播域中的關(guān)聯(lián)臺(tái)站。
接下來，在方框250處，在指定的IP多播VLAN上接收多播流。在判決方框255處，系統(tǒng)可以判斷該多播流是否以以至少一個(gè)關(guān)聯(lián)臺(tái)站作為成員的多播群組為目標(biāo)。如果是，則可以使用之前傳遞的多播密鑰對幀加密，并將幀中繼到合適的臺(tái)站(方框265)。
如果在判決方框255處確定該幀不是以該多播群組為目標(biāo)，則可以丟棄和忽略該多播流(方框260)。
可以在接入點(diǎn)上建立多于一個(gè)IP多播域?？梢葬槍γ總€(gè)IP多播域重復(fù)如圖2所示的將VLAN組合到IP多播域中的過程。對于每個(gè)IP多播域，可以使用一個(gè)或多個(gè)多播密鑰的不同集合。
雖然已經(jīng)利用本系統(tǒng)的實(shí)施例示出了本系統(tǒng)，并且雖然已經(jīng)相當(dāng)詳細(xì)地描述了實(shí)施例，但是本申請的目的不希望將所附權(quán)利要求的范圍限定或以任何方式局限于這些細(xì)節(jié)。本領(lǐng)域技術(shù)人員將容易發(fā)現(xiàn)其他優(yōu)點(diǎn)和修改。因此，本系統(tǒng)在其更廣闊的方面不局限于這里示出并描述的特定細(xì)節(jié)、代表性裝置和所示示例。因此，在不脫離本申請的一般創(chuàng)造性概念的精神或范圍的情況下，可以偏離這些細(xì)節(jié)。
雖然已經(jīng)詳細(xì)描述了優(yōu)選實(shí)施例，但是應(yīng)該理解，在不脫離由所附權(quán)利要求限定的本發(fā)明的精神和范圍的情況下，可以執(zhí)行各種改變、替換和變更。
權(quán)利要求
1.一種用于組織虛擬局域網(wǎng)的方法，該方法包括以下步驟識(shí)別網(wǎng)絡(luò)上的至少一個(gè)虛擬局域網(wǎng)；將識(shí)別出的虛擬局域網(wǎng)組織到所述網(wǎng)絡(luò)上的多播域中；將一個(gè)已組織的虛擬局域網(wǎng)指定為所述多播域的用于接收多播消息的多播虛擬局域網(wǎng)；給所述多播域分配相關(guān)聯(lián)的臺(tái)站；截取以所述關(guān)聯(lián)臺(tái)站為目標(biāo)的因特網(wǎng)群組管理協(xié)議報(bào)告，以識(shí)別IP多播群組的成員；接收針對所述IP多播群組的IP多播消息；將所述IP多播消息轉(zhuǎn)發(fā)到所述多播虛擬局域網(wǎng)上的接入點(diǎn)；以及向所述多播域上的所述關(guān)聯(lián)臺(tái)站發(fā)送所述IP多播消息。
2.如權(quán)利要求1所述的方法，還包括選擇多個(gè)虛擬局域網(wǎng)中的至少一個(gè)來接收所述多播消息的步驟。
3.如權(quán)利要求1所述的方法，還包括建立用于標(biāo)記在所述網(wǎng)絡(luò)上傳送的IP多播消息的多播密鑰的步驟。
4.如權(quán)利要求3所述的方法，還包括建立與所述多播密鑰相對應(yīng)的多播密鑰標(biāo)識(shí)元素的步驟，所述多播密鑰標(biāo)識(shí)元素用于輔助所述IP多播消息的接收以選擇所述多播密鑰來解密接收到的IP多播消息。
5.如權(quán)利要求4所述的方法，還包括在所述發(fā)送步驟之前，將所述多播密鑰標(biāo)識(shí)元素添加到所述IP多播消息的頭部的步驟。
6.如權(quán)利要求1所述的方法，其中所述識(shí)別步驟還包括對所述網(wǎng)絡(luò)上的交換機(jī)編程以配置所述至少一個(gè)虛擬局域網(wǎng)。
7.如權(quán)利要求1所述的方法，其中所述指定至少一個(gè)虛擬局域網(wǎng)之一的步驟還包括在所述接入點(diǎn)上任意地指定所述至少一個(gè)虛擬局域網(wǎng)之一作為針對所述多播域的多播虛擬局域網(wǎng)。
8.如權(quán)利要求7所述的方法，還包括建立用于標(biāo)記在所述網(wǎng)絡(luò)上傳送的廣播消息的廣播密鑰的步驟。
9.如權(quán)利要求8所述的方法，還包括建立與所述廣播密鑰相對應(yīng)的廣播密鑰標(biāo)識(shí)元素的步驟，所述廣播密鑰標(biāo)識(shí)元素用于輔助所述廣播消息的接收以選擇所述廣播密鑰來解密所述廣播消息。
10.如權(quán)利要求9所述的方法，還包括將所述廣播密鑰和所述廣播密鑰標(biāo)識(shí)元素添加到所述廣播消息的頭部的步驟。
11.如權(quán)利要求10所述的方法，還包括發(fā)送利用所述廣播密鑰加密后的廣播消息以防止在不同廣播域中的臺(tái)站解密的步驟。
12.如權(quán)利要求1所述的方法，還包括在發(fā)送前對所述IP多播消息加密的步驟。
13.如權(quán)利要求12所述的方法，還包括以下步驟在所述多播域上接收所述IP多播消息；以及對接收到的IP多播消息進(jìn)行解密。
14.如權(quán)利要求1所述的方法，還包括判斷所述IP多播消息是否以所述多播域?yàn)槟繕?biāo)的步驟。
15.如權(quán)利要求14所述的方法，還包括如果所述IP多播流不以所述多播域?yàn)槟繕?biāo)，則丟棄所述IP多播消息的步驟。
16.如權(quán)利要求1所述的方法，其中所述網(wǎng)絡(luò)是802.11網(wǎng)絡(luò)。
17.一種用于以網(wǎng)絡(luò)上的多播傳輸為目標(biāo)的系統(tǒng)，該系統(tǒng)包括用于識(shí)別所述網(wǎng)絡(luò)上的至少一個(gè)虛擬局域網(wǎng)的裝置；用于將識(shí)別出的虛擬局域網(wǎng)組合到所述網(wǎng)絡(luò)上的多播域中的裝置；用于將已識(shí)別出的虛擬局域網(wǎng)之一指定為用于接收所述多播傳輸?shù)亩嗖ヌ摂M局域網(wǎng)的裝置；用于給所述多播域分配相關(guān)聯(lián)的臺(tái)站的裝置；用于識(shí)別所述多播傳輸?shù)某蓡T的裝置；以及用于向在所述多播虛擬局域網(wǎng)上識(shí)別出的成員發(fā)送所述多播傳輸?shù)难b置。
18.如權(quán)利要求17所述的系統(tǒng)，還包括用于向所述多播虛擬局域網(wǎng)上的接入點(diǎn)轉(zhuǎn)發(fā)所述多播傳輸?shù)难b置。
19.如權(quán)利要求18所述的系統(tǒng)，還包括用于生成用于標(biāo)記經(jīng)由所述網(wǎng)絡(luò)傳送的所述多播傳輸?shù)亩嗖ッ荑€的裝置。
20.如權(quán)利要求19所述的系統(tǒng)，還包括用于生成用于標(biāo)識(shí)所述多播密鑰的多播密鑰標(biāo)識(shí)元素的裝置。
21.如權(quán)利要求20所述的系統(tǒng)，還包括用于將所述多播密鑰標(biāo)識(shí)元素組合到所述多播消息中以構(gòu)成多播分組的裝置。
22.一種用于傳遞多個(gè)密鑰的方法，該方法包括識(shí)別與至少一個(gè)域相關(guān)聯(lián)的臺(tái)站；向?qū)?yīng)于第一域的臺(tái)站傳遞第一加密密鑰；向?qū)?yīng)于第二域的臺(tái)站傳遞第二加密密鑰；在消息的頭部中嵌入密鑰標(biāo)識(shí)符以標(biāo)識(shí)所述第一和第二加密密鑰中的一個(gè)所選密鑰；利用所述第一和第二加密密鑰中的一個(gè)所選密鑰對所述消息加密；傳遞所述消息和所述頭部；以及選擇與所述密鑰標(biāo)識(shí)符相對應(yīng)的解密密鑰。
23.如權(quán)利要求22所述的方法，還包括將第二密鑰標(biāo)識(shí)符嵌入到第二消息的第二頭部中以標(biāo)識(shí)所述第一和第二加密密鑰中的第二所選密鑰的步驟。
24.如權(quán)利要求23所述的方法，還包括以下步驟利用所述第一和第二加密密鑰中的第二所選密鑰對所述第二消息加密；以及傳遞所述第二消息和第二頭部。
25.如權(quán)利要求24所述的方法，還包括選擇與所述第二密鑰標(biāo)識(shí)符相對應(yīng)的第二解密密鑰的步驟。
26.如權(quán)利要求22所述的方法，其中所述第一域是多播域。
27.如權(quán)利要求22所述的方法，其中所述第一域是廣播域。
28.如權(quán)利要求26所述的方法，其中所述第二域是多播域。
29.如權(quán)利要求26所述的方法，其中所述第二域是廣播域。
30.如權(quán)利要求22所述的方法，其中所述域是包括被配置用于接收公共消息的多個(gè)子網(wǎng)和多個(gè)臺(tái)站的因特網(wǎng)協(xié)議(IP)多播域。
31.如權(quán)利要求30所述的方法，其中所述公共消息是公共多播消息。
全文摘要
本發(fā)明提供了一種用于識(shí)別多個(gè)虛擬局域網(wǎng)并將這多個(gè)虛擬局域網(wǎng)組合到單個(gè)多播域中的系統(tǒng)和方法。該系統(tǒng)和方法可被配置為指定一個(gè)虛擬局域網(wǎng)作為多播虛擬局域網(wǎng)，以使經(jīng)由網(wǎng)絡(luò)的多播消息的傳輸呈流線型。臺(tái)站可被配置具有多播群組密鑰，以使其能夠接收來自多個(gè)廣播或多播域的消息。
文檔編號(hào)H04L29/06GK1871811SQ200480031576
公開日2006年11月29日 申請日期2004年9月16日 優(yōu)先權(quán)日2003年11月5日
發(fā)明者羅伯特·C·邁耶, 戴維·E·豪拉斯 申請人:思科技術(shù)公司