CN1879435B

CN1879435B - 用于无线台站的内联加密和解密的方法和装置

Info

Publication number: CN1879435B
Application number: CN2004800329850A
Authority: CN
Inventors: 马克·克里斯彻尔; 菲利普·J·雷恩; 迈克尔·J·韦布
Original assignee: Cisco Technology Inc
Current assignee: Cisco Technology Inc
Priority date: 2003-11-26
Filing date: 2004-07-19
Publication date: 2011-11-30
Anticipated expiration: 2024-07-19
Also published as: AU2004297922A1; US6970446B2; EP1687997A4; JP2007515110A; AU2004297922B2; EP1687997B1; US20050111472A1; EP2602962B1; CN1879435A; CA2543231C; CN1883212B; EP1687997A1; JP4344749B2; EP2602962A1; WO2005057963A1; CA2543231A1; US20060023685A1; US7835371B2; US6954450B2; US20050111471A1

Abstract

本发明公开了一种无线发送或接收信息分组的方法，和一种无线发送或接收信息分组的装置。在接收情形中，该方法包括在接收期间通过网络链路流式传输包括接收到的分组的至少一些内容的数据元素，包括在通过网络链路传送之后，在流式传输期间对数据元素进行实时解密。发送和接收是由无线网络的台站(300)执行的，并且流式传输是从通过网络链路耦合到台站的网络设备(329)去往台站的，或者从台站去往该网络设备的。

Description

用于无线台站的内联加密和解密的方法和装置

相关专利申请

本发明与2003年11月26日提交的发明人为Krischer等人的题为“Amethod and apparatus to provide data streaming over a network connection in awireless MAC processor”的美国专利申请No.10/724,559(代理人案卷号No.CISCO-7563，被转让给本发明的受让人)有关。美国专利申请No.10/724,559在这里被称为父申请，并通过引用结合于此。

背景技术

本发明涉及无线网络，具体而言，涉及用于MAC密码学的MAC控制器和方法，该MAC密码学例如在通过分组网络链路耦合到无线台站的实体中执行包含MAC处理器的无线台站外部的实际密码功能。

图1示出了例如用于遵从IEEE 802.11标准之一的无线局域网(WLAN)的传统现有技术的无线网络连接100。无线电部分101包括耦合到无线电收发器105的一个或多个天线103，无线电收发器105包括模拟RF部分和数字调制解调器。无线电部分101的数字调制解调器耦合到实现MAC协议的MAC处理器107。MAC处理器107通过一条或多条总线(象征性地示为单个总线子系统111)连接到主机处理器。主机处理器包括存储器(例如，连接到主机总线的RAM)，该存储器在这里示为总线子系统111的一部分。

在实现MAC协议(例如，IEEE 802.11MAC协议)时，MAC处理器107决定在何时发送哪些MAC分组。典型的现有技术MAC处理器107包括快速但是相对较小的本地存储器(在图1中示为MAC存储器109)，该本地存储器确保MAC处理器可以快速访问其需要发送的分组。主机处理器决定MAC处理器可能需要哪些分组，并发送这些被包括在本地MAC存储器109中的分组。当有一个或多个分组要发送时，MAC处理器随后从其MAC存储器109中取得这些分组。

近年来人们希望将越来越多的MAC处理功能移到主机处理器上。例如，主机可以实现WLAN接入点。通过将越来越多的功能移到主机上的软件中，实现了更大的灵活性。

在一个这样的安排中，MAC处理功能被划分为“低层MAC”和“高层MAC”，“低层MAC”在硬件中实现这样的方面，如接口到物理无线电部分(PHY)101、加密和实际的收发MAC分组。低层MAC可以利用处理器实现，并且包括本地存储器。“高层MAC”功能(即，剩余的MAC功能)实现在运行在主机处理器上的软件中。低层MAC经由总线子系统耦合到主机处理器。

当要发送的分组准备好时，主机将关于这些分组的信息传递到低层MAC。例如，信息可以包括关于MAC分组的有效载荷驻留在主机存储器中的何处的信息。该信息被本地地存储在低层MAC上。当低层MAC被建立发送要发送的MAC分组时，低层MAC建立所需数据的DMA传送。然后，数据经由DMA被从主机传递到低层MAC处理器。

这避免了现有技术方法的失误情形，该方法包括主机预测并以要发送的分组预先加载本地MAC存储器。

近年来，人们希望将用作接入点(AP)的台站的更多智能移到交换机上。例如，可能使某些MAC功能在连接到接入点的交换机中执行。

在父专利申请中描述了一种提供了用于来自交换机的要发送分组的数据流式传输的方法和装置，AP例如经由快速(例如G比特)以太网直接连接到交换机。父专利申请引入了特殊的以太网控制器，其除了标准的以太网MAC和PHY功能外，还充当网络DMA控制器。父专利申请还引入了第一新类型的特殊分组，其包含由特殊以太网控制器创建的指针和长度，并且被发送到连接到AP的交换机或其他设备。父专利申请还引入了第二新类型的特殊分组，其用于发送第一类型特殊分组所请求的数据。连接到AP的交换机或其他设备具有匹配的特殊以太网控制器，其理解并且创建这种特殊分组。从而，当交换机接收到第一特殊类型分组时，其以必要数据作出响应。在发送时分组数据直接从交换机流式传输到MAC。

现有技术AP的低层MAC处理器一般包括密码引擎，其实时地对用于发送的分组进行加密，或者同样实时地对接收的分组进行解密。加密实时地进行到最后一刻的一个原因是例如，如果需要重新加密用于发送的分组，则分组是本地可获得的，并且在最后一刻执行加密。

利用MAC处理器中的加密引擎加密数据的一个缺点是未加密的数据本地地存在于无线台站处，从而增加了易受攻击性。此外，本地无线台站需要本地地存储和维护所需的加密密钥，这同样增加了易受攻击性。

从而，在技术中需要一种允许在远离AP的设备(例如，边缘路由器)上执行加密的方法和装置。

如在父申请中所描述的，可以使某些MAC功能在接入点连接到的交换机中执行。利用在父申请中描述的系统，人们可以在使数据流式化以用于发送之前在交换机中执行加密。即，人们可以在AP上排队之前有效地执行加密。然而，这是不希望发生的。这使得交换机上的加密处理与选择AP中的下一分组的处理去耦合。为了这样作，交换机必须对将会发生何事以及何时发生作出假设。当这些假设是不正确的时，在最好情况下，AP必须请求新加密版本的分组，或者在最坏情况下，AP仅仅丢弃分组并等待更高层来挑选出该情形。即，发明人相信在排队之前在交换机处进行加密太早。例如，依赖于分组所发生的情形，可能需要请求要发送的分组被重新加密。如果在交换机处执行这种加密，则这会要求将分组从MAC发送回交换机。这不仅意味着需要交换机维护未加密的分组直到其被发送，还明显增加了发送时间延迟。此外，这种安排可以相当程度上使体系结构变得复杂化。

从而，在技术中需要这样一种机制，其使包括加密在内的更多的MAC功能驻留在远离无线台站自身的设备中，而不会产生可能需要对数据重新加密这样的不良影响。因此，需要这样一种方法和装置，其例如通过维持AP的发送信息和加密之间的耦合来与无线发送内联(in line)地执行加密处理。

发明内容

这里公开了一种在无线台站处无线发送或接收信息分组的方法，和无线发送或接收信息分组的装置。在发送情形中，该方法包括在发送期间经由到台站的网络链路流式传输包括分组的至少某些内容的数据元素。在接收情形中，该方法包括在接收期间经由网络链路流式传输包括接收分组的至少某些内容的数据元素。发送或接收是由无线网络的台站进行的，并且流式传输是从通过网络链路耦合到台站的网络设备去往台站的，或者从台站去往该网络设备的。

在发送情形中，本发明的一个方面包括在发送期间数据被流式传输经过网络链路的同时实时地加密数据，这样维持了台站的无线发送信息和加密之间的耦合。本发明的另一个方面在于经由网络链路发送要发送的数据在最后可能的时刻之前都不需要发生，从而不需要通过网络链路连接到台站的设备作出任何假设或预测。

一个实施例是在无线网络的台站中实现的方法，在一个实施例中，无线网络是IEEE 802.11无线网络。台站通过网络链路耦合到网络设备(在一个实施例中是交换机)，在一个实施例中，网络链路是G比特以太网或者至少与G比特以太网一样快的任何以太网。网络设备包括存储器。该方法是在台站处的无线发送或无线接收期间经由网络链路实现去往或来自网络设备的数据的流式传输。

该方法包括接受信息，该信息描述了在发送情形中从何处取得包括要无线发送的分组的至少某些数据的数据元素，或者在接收情形中向何处写入包括来自无线接收的分组的至少某些数据的数据元素。该信息包括在发送情形中如何对数据元素加密和在接收情形中如何对数据元素解密的信息。所接受的信息包括定义用于数据元素的网络设备存储器中的存储位置和数据量、并且定义密码信息的信息。

该方法还包括在发送情形中建立用于要无线发送的分组的数据元素的DMA传送(包括建立加密)，或者在接收情形中建立来自无线接收的分组的数据元素的DMA传送(包括建立解密)，所述建立使用定义信息进行。

在发送情形中，该方法还包括将定义信息转换为第一类型分组以在网络链路上传输，并经由网络链路将第一类型分组发送到网络设备，在网络设备处，第一类型分组被解释来根据定义信息建立发送来自网络设备存储器的数据元素或者将数据元素写入到网络设备存储器的操作，包括在发送情形中进行加密，或者在接收情形中进行解密。

另外在发送情形中，该方法包括响应于发送分组而接收包括根据密码信息加密的数据元素的第二类型分组，将第二类型分组转换为数据元素，并将数据元素并入到要发送的分组中，从而使经由网络进行的传送(包括加密)在发送期间实时发生。

在接收情形中，该方法包括从无线接收的分组中提取出数据元素，将数据元素封装到第二类型分组中以写入到网络设备存储器中，并将第二类型分组发送到网络设备，在网络设备处，第二类型分组被解释，使得封装数据根据定义信息被写入到网络设备存储器中，这种定义信息包括描述如何对数据解密的密码信息。

根据该方法，在发送情形中，经由网络进行的并入到要无线发送的分组中的数据元素的传送在发送期间实时发生，包括在经由网络进行传送之前进行加密，或者在接收情形中，经由网络进行的传送在接收期间实时发生，包括在经由网络进行传送之后实时解密。

另一个实施例是实现在网络设备中的方法，在一个实施例中，网络设备是网络交换机。网络设备经由网络链路耦合到无线网络(在一个实施例中，是IEEE 802.11无线网络)的台站，网络链路例如是足够快的以太网链路，如G比特或更快的以太网链路。网络设备包括存储器。该方法是在台站处的无线发送或无线接收期间经由网络链路实现来自或去往网络设备存储器的数据的流式传输。

该方法包括经由网络链路将信息发送到无线台站，该信息描述了在发送情形中从何处取得包括要无线发送的分组的至少某些数据的数据元素，或者在接收情形中向何处写入包括来自无线接收的分组的至少某些数据的数据元素。所接受的信息包括定义网络设备存储器中用于数据元素的存储位置和数据量的信息。该方法还包括经由网络链路接收来自无线台站的第一类型分组。该分组包括描述从何处取得数据元素或向何处写入数据元素的信息。

在要分组的分组的数据的情形中，该方法包括响应于接收到第一类型分组，从存储器中取得数据元素，形成包括所取得的数据的第二类型分组；并响应于接收到第一类型分组而将第二类型分组发送到无线台站，从而使经由网络进行的并入到要无线发送的分组中的数据传送在发送期间实时发生。

在数据来自接收分组的情形中，该方法包括接收来自无线台站的封装了数据元素的第二类型分组，从第二类型分组中提取出封装数据，并根据接收到的第一类型的分组中的信息将所提取的数据写入到存储器中，从而使经由网络进行的来自无线接收的分组的数据的传送在接收期间实时发生。

其他方面将从这里的描述中变清楚。

附图说明

图1示出了用于无线局域网(WLAN)的现有技术无线网络连接。

图2示出了用于实现接入点(AP)的无线台站的实施例，包括到接入点的网络链路。

图3示出了用于实现接入点(AP)的无线台站的实施例，包括到接入点的网络链路。

图4A和4B分别示出了根据本发明一方面的第一和第二特殊类型的以太网分组。

具体实施方式

本发明的一方面提供了这样一种方法和装置，其允许用于由无线台站无线发送的分组的数据元素在发送期间经由网络链路从远离无线台站的网络设备处流式传输。远离无线台站意味着无线台站经由分组网络链路(如以太网链路)连接到远程设备。本发明的另一方面使流式传输包括加密。本发明的另一方面提供了这样一种方法和装置，其使来自无线接收到的分组的数据元素在接收期间经由链路网络流式传输到远程网络设备，从而使来自接收到的分组的数据可以实时存储在远程网络设备中。

本发明的实施例将结合无线台站进行描述，无线台站是无线局域网(WLAN)中的接入点(AP)。在一个实施例中，远程网络设备是通过网络链路耦合到无线接入点的网络交换机。

去往和来自主机存储器的实时数据流式传输

图2示出了用于实现经由网络链路228(一般是诸如以太网连接之类的有线网络连接)耦合到网络交换机229的接入点(AP)的无线台站。台站200的MAC处理功能被划分在“低层MAC”203和DMA引擎223之间，“低层MAC”203实现以下这些功能，如利用PHY接口217接口到物理无线电(PHY)101，利用密码引擎221进行加密/解密，以及实际接收和发送MAC分组。“高层MAC”功能(即，剩余MAC功能)实现在运行在主机处理器211上的软件中。低层MAC 203经由总线子系统209耦合到主机处理器211。主机DMA控制器207和主机存储器接口213也耦合到主机总线，其中主机存储器接口213连接到主机存储器215。

本发明的一个方面是利用密码引擎将加密/解密移动到在网络交换机处执行。

在台站是接入点的示例中，台站200包括连接到主机总线209的诸如以太网接口之类的网络接口225。网络接口将台站200连接到网络228(例如以太网)。交换机229被示为连接到网络。交换机229自身包括经由本地交换机总线子系统243连接的本地交换机主机处理器233和交换机存储器235。交换机例如可以在网络操作系统(如IOS(California，SanJose，思科系统公司))的控制下进行操作。网络接口(例如以太网接口231)将交换机总线连接到网络228。

作为示例，假定低层MAC和主机处理器实现在包括存储器接口213的同一集成电路(芯片)上。存储器215是芯片的外部存储器。

在图2中未示出各种细节。例如，除了图示的外部存储器之外，还可以有某些缓存存储器和主机的其他内部存储器。

在发送期间，为了避免MAC处理器将其本地MAC存储器219用作要发送的分组的存储器缓冲的缺点，改进的实现方式使用跨总线子系统和存储器接口的流式直接存储器访问(DMA)一也称为“数据流式传输”，来直接访问要从主机存储器215发送的数据，而不涉及主机处理器211。为了提供这一点，分组/DMA引擎223包括用于建立DMA传送的分散/聚集(scatter/gather)DMA控制器。

考虑这样的示例：主机处理器经由网络228接收用于无线传输的分组。当主机处理器具有准备好发送的新的分组时，其通过向低层MAC203提供足以建立传输的信息来通知低层MAC。该信息包括要发送分组的MAC头部、建立MAC分组所需的任何数据的位置和关于如何从数据构造MAC分组的信息。在一个实施例中，由主机提供给低层MAC203的信息包括一组数据结构一在这里被称为“缓冲描述符”，其包括MAC分组的数据例如在主机存储器215中的位置。

低层MAC203提取要发送分组的头部，并将其本地地存储在其MAC存储器219中。每个MAC分组的缓冲描述符也与MAC分组的MAC头部一样，本地地存储在MAC存储器219中。一旦头部位于本地MAC存储器219中，低层MAC203就假设控制这些分组以用于发送。

每个缓冲描述符数据结构包括定义存储器的邻接量(contiguousamount)的字段，并且包括地址指针字段和数据长度字段。地址指针字段的内容指向存储器中的位置，数据长度字段提供了开始于指针指向的地址处的数据的量(长度)。完整MAC分组包括多个这种缓冲描述符(在这里被称为“缓冲描述符链”)，这些描述符在一起描述要发送的MAC分组的数据的位置。即，一组缓冲描述符(每一个定义了数据的邻接量)一起定义了用于形成要发送的MAC分组的一组不一定邻接的数据。

注意，类似地定义有接收缓冲描述符的接收缓冲描述符链，其描述了接收的分组数据要存储的位置。

台站200具有存储器映射，其定义了每个地址的位置，例如位于本地MAC存储器中或者在主机存储器215上。

分组/DMA引擎223的分散/聚集DMA控制器被用于建立数据的DMA数据传送，所述数据是要写入到存储器的不一定邻接区域或者从不一定邻接区域读出的数据。分散/聚集列表是向量列表，每个向量给出了整个读或写请求中一个片段的位置和长度。从而，要发送的MAC分组的每个缓冲描述符链包括足够供分组/DMA引擎223建立分散/聚集列表的信息。分组/DMA引擎223解释缓冲描述符链以形成分散/聚集列表。分组/DMA引擎223还负责遵循发送调度，并根据调度经由PHY接口发送MAC分组。

当需要发送MAC分组时，分组/DMA引擎223根据缓冲描述符链建立分散/聚集列表。每个向量对应于缓冲描述符，并且描述了由缓冲描述符定义的存储器块。分组/DMA引擎223与主机DMA控制器通信，并根据发送调度建立与主机DMA控制器的传送。

在建立后，进行从主机存储器和/或本地MAC存储器的传输，以形成用于实时发送的MAC分组。

考虑在单个缓冲描述符中描述的存储器的邻接量的单个传送。分组/DMA引擎223经由主机总线209将DMA信息和向量传输到主机DMA控制器207。主机DMA控制器与存储器接口213通信，取得数据，并经由总线将数据发送到分组/DMA引擎223。

为了发送，数据可以按需经过密码引擎，然后经由PHY接口，以经由PHY101的发送部分发送。

以这种方式，避免了现有技术方法中的失误情形，现有技术方法包括主机预测并以要发送的分组预先加载本地MAC存储器。

在接收数据时，处理基本是相反的。在信息交换中，低层MAC从主机处理器211接收可以存储接收到的分组的地址。具体而言，低层MAC203维护用于接收分组的一组接收缓冲描述符链。接收缓冲描述符链包括接收缓冲描述符，其指示接收到的分组的数据可以被存储在主机存储器215中的位置。当经由PHY接口217接收到数据后，分组/DMA引擎223建立数据传送，包括可能经过密码引擎221以进行解密。分组/DMA引擎中的DMA引擎建立DMA传送所需的分散/聚集列表，并将该信息传输到主机DMA控制器。主机DMA控制器访问存储器映射，并建立到主机存储器的每个DMA传送，其中存储器映射指示数据要写入到存储器中的位置，例如主机存储器215上的位置。

经由有线网络进行的流式传输(包括加密)

在本领域中，通常希望将更多的台站功能移到网络设备，例如经由网络链路耦合到台站的网络交换机229。本发明的一个方面包括在数据经由网络连接流式传输时对数据加密，从而使无线台站不需要保存任何未加密的要发送分组或密钥。

图2中所示的系统要求要发送分组的数据在台站处排队，例如在主机存储器215中排队，并且在主机存储器215中可用于发送。此外，加密和解密利用密码引擎221进行。

父申请的一个方面包括通过网络链路的实时数据流式传输，其使包括在要无线发送的分组中的数据在发送期间从网络交换机直接流式传输，而不一定要求在发送的无线台站中排队。本发明的另一个方面使要发送的分组在流式处理期间在发送时加密，并且使接收到的分组在流式处理期间在接收时解密。

图3示出了体现本发明各个方面的装置。总的体系结构类似于图2中所示的情形，除了主机处理器的某些功能被转移到网络设备之外，例如经由有线网络耦合到无线台站的网络交换机，此外，加密引擎目前位于交换机处，而不是位于台站处。即，无线台站300包括低层MAC303，低层MAC303又包括分组/DMA引擎323和本地MAC存储器319。与父申请的情形不同，低层MAC303不需要包括加密/解密引擎。台站300还包括主机总线子系统309上的主机处理器。存储器接口319和主机DMA控制器307连接到主机总线309。在一个实施例中，低层MAC经由分组/DMA引擎323耦合到主机总线309。

台站300经由网络链路328耦合到网络交换机329，网络链路328经由耦合到主机总线309的网络接口325耦合到主机总线子系统309。

交换机329包括本地交换机总线子系统343，本地交换机总线子系统343将交换机主机处理器333与交换机存储器335相连。在一个实施例中，交换机还包括交换机DMA控制器341，交换机DMA控制器341耦合到交换机总线343，并且能够与本地交换机存储器335进行DMA传送。网络接口331将交换机连接到网络328。

在一个实施例中，交换机329的主机333运行在网络操作系统IOS(California，San Jose，思科系统公司)上。

注意，尽管图2的台站200的体系结构和图3的体系结构是类似的，但是其功能却是不同的，某些高层MAC功能当前在网络交换机329中执行。从而，对于除了PHY101以外的其他所有元件，在图2和3中使用了不同的标号。然而，某些元件可以是相同的，这是本领域技术人员所清楚的。

本发明的一个方面在于至少某些要无线传输的MAC分组的数据在发送期间经由网络链路328以流式方式从交换机存储器发送到低层MAC303以由PHY101发送，从而使数据不需要在主机存储器中排队。本发明的另一个方面在于至少某些要无线传输的MAC分组的数据在流式处理期间被加密。另一个方面在于由PHY101接收的数据在发送期间可以以流式方式直接经由网络链路328发送到交换机，从而使接收到的数据不需要在主机存储器中排队。发明人认识到，有线网络正变得足够快以提供这种流式传输。在优选实施例中，网络328是G比特以太网。当然，这意味着至少与以太网链路一样快的任何以太网链路都可以用作替换，并且对于本发明来说都在术语“G比特以太网”的范围内。注意，本发明并不限于以太网连接。可以使用任何网络连接，如基于令牌环的连接或者某些其他网络连接。

为了提供流式特征，本发明的一个实施例在台站中包括网络DMA引擎324，并且在交换机中包括匹配网络DMA引擎338。在台站300的情形中，网络接口325包括网络MAC和PHY接口326以及网络DMA引擎324。在总线一侧，网络DMA引擎324表现为存储器接口。主机DMA控制器307与网络DMA引擎324通信(就好像其是存储器接口一样)，还与存储器接口33通信。接入点中的存储器映射指示哪些存储器地址由存储器接口313处理，哪些由网络DMA引擎324处理。

在交换机中，网络接口331包括网络DMA引擎338以及网络MAC和PHY接口336。在交换机总线一侧，网络DMA引擎338表现为存储器控制器。交换机存储器映射指示哪些地址位于本地交换机存储器335中，哪些由网络DMA引擎338处理。

此外，为了分别在发送和接收时在去往和来自台站300的网络线路上的流式传输期间提供内联加密和解密，网络接口331包括密码引擎321和存储器设备，该存储器设备维护加密方法和密码密钥的密钥存储345。密钥存储345存储一组索引密钥。在一个实施例中，密钥存储345将密钥和加密方法存储为索引表数据结构。

在发送情形中，当主机DMA控制器307接收到例如由低层MAC的分组/DMA引擎323建立的存储器请求时，其根据地址与网络DMA引擎324通信，或者与存储器接口313通信。通常情况下，分组/DMA引擎323经由网络DMA引擎324建立DMA传送。DMA控制器307不需要知道从网络DMA引擎324请求的任何数据实际上是来自于网络链路的。

注意，在一个实施例中，地址向DMA控制器307指示DMA传送是去往或来自DMA引擎324的还是去往或来自存储器接口313的，而在替换实施例中，分离指示(例如控制位)被用于指示DMA传送是去往或来自DMA引擎324的还是去往或来自存储器接口313的。

类似地，交换机DMA控制器341将交换机网络DMA引擎338视为其是存储器接口设备一样，并且不需要知道任何数据传输过网络链路328。

本发明的另一个方面是分别由台站主机和交换机的网络DMA引擎324和338执行的处理。父申请描述了本发明的一方面，其定义了用于建立网络流式传输，并在这种流式传输期间承载数据的网络分组类型。父申请的另一个方面是分别由台站主机和交换机的网络MAC和PHY接口326和336的过滤器327和337分别执行的接收过滤。本发明的一个方面包括交换机例如在密钥存储345中存储一组索引密钥。另一方面包括引入了新的特殊分组来为要发送分组的数据提供足够信息，以在流式传输到AP期间被加密。这种新的特殊分组提供了足以建立密码的信息。这种信息包括定位密钥存储中的密码密钥的一个或多个密钥索引，使用的加密方法的指示，和使用的完整性模式的指示。因此在发送时按需被流式传输之前，交换机在发送期间使加密引擎321执行所需的加密。类似地，在从台站到交换机329的流式传输期间，可由加密引擎321对接收到的加密信息进行解密。

这些方面将首先在由无线台站300进行无线发送的一组分组的上下文中进行描述。

首先考虑在图2所示的实施例的发送期间的操作。这种情况下，交换机229将要由无线台站200发送的任何分组路由到无线台站。这些分组在主机处理系统中(例如在主机存储器215中)排队，并且主机与低层MAC203通信以建立主机存储器中的数据的DMA传送，这种传送例如是传输每个分组的分组头部和一组缓冲描述符(缓冲描述符链)所要求的。

相反，在本发明的一个实施例中，当交换机329有要由无线台站300发送的分组时，交换机329经由网络328将关于要发送分组的信息(例如，每个要发送分组的头部信息和缓冲描述符链)发送到台站。这种信息被经由主机总线309传输到低层。主机在该过程中扮演无足轻重的角色。此外，加密信息是从台站接收到的，或者使用的缺省值例如是先前从台站或从另一实体接收到的。这种信息被用于建立内联加密。

在本发明的替换实施例中，主机接收关于要发送分组的至少某些数据存在于交换机中的何处的信息，并且主机利用这种由交换机发送的数据来建立缓冲描述符链。然而，数据自身保留在交换机中，直到其被流式化以用于发送。例如，主机将从交换机发送的信息解释为用于低层MAC的关于要发送分组的信息，并将该信息传递到低层MAC。

当低层MAC303接收到要发送分组的头部信息和描述符链时，低层MAC将头部和关联信息存储在其本地MAC存储器319中，并对发送进行调度。在发送开始时，MAC分组/DMA引擎323针对分散/聚焦访问对建立每个分组所需的数据的进行DMA访问。MAC分组/DMA引擎323将分散/聚集中的每个请求发送到主机DMA控制器307。这些请求被DMA控制器307解释，并且依赖于地址被传输到存储器接口313或网络DMA引擎324。从而，对于位于主机存储器313的地址范围外的预定义地址范围，主机DMA控制器307将网络DMA引擎324视为存储器接口。

对于每个存储器请求，网络DMA引擎324通过建立第一特殊类型的分组来建立网络传送，这种第一特殊类型的分组是控制分组，其描述了来自交换机存储器的所需存储器传送形式的存储器请求。该特殊分组包括指向交换机存储器中的位置的指针数据和长度信息。这些特殊类型分组经由网络328被发送到交换机。

本发明的一个方面在于这些特殊类型分组也可以包括关于在数据传送期间要执行的加密(如果有的话)的信息。

网络MAC和PHY接口336解释其接收到的所有分组。在一个实施例中，网络MAC和PHY接口336包括过滤器337，过滤器337向网络DMA引擎338指示来自于其接收到的特殊类型分组的信息，以由网络DMA引擎338作进一步处理。非特殊类型分组被正常处理并被传递。

网络DMA引擎解释来自于特殊类型分组的信息，以翻译控制信息并将信息传输到交换机DMA控制器341，从而根据控制分组中的信息建立来自于交换机存储器335的DMA传送。DMA传送被建立到目的地地址，目的地地址被交换机329理解为由网络DMA控制器338处理的地址。网络DMA控制器338对交换机DMA控制器338来说表现为存储器接口。

网络DMA引擎解释来自于特殊类型分组的加密信息，以用于流式传输期间的加密。

去往低层MAC303的数据被交换机的网络DMA引擎338封装为第二特殊类型的分组：流式数据封装分组。要封装的信息根据提供的加密指令被传递经过加密引擎。每个流式数据封装分组包括相应请求分组的起始指针和长度数据元素，并且经由网络328被发送到接入点300，并经由网络MAC和PHY接口326被接收。

网络MAC和PHY接口326包括过滤器327，过滤器327向网络DMA引擎324指示要由网络DMA控制器324处理的那些分组，即，第二特殊类型分组。非特殊类型分组由网络MAC和PHY接口正常处理。

网络DMA引擎324解释第二特殊类型分组(即，流式数据封装分组)中的信息，该分组包含封装信息，在包括内联加密的情形中，该信息是被加密的。一个方面在于第二特殊类型分组中的指针和长度信息被用于将分组匹配为对DMA请求的响应。网络DMA引擎324移去数据一可能是加密数据，并经由总线309将它们作为对匹配DMA请求的响应传输。对于主机系统总线来说，这表现为由主机DMA控制器307建立的常规DMA响应传送，因为对于这种传送来说，网络DMA引擎338就像是存储器接口一样。

DMA控制器307将取回的数据路由到低层MAC的发出请求的分组/DMA引擎，就好像它对任何DMA请求所作的那样。

图4A和4B示出了两种特殊类型分组的结构。这些是包括类型(TYPE)字段的标准IEEE 802.3帧，类型字段的相应内容是两个唯一的先前未定义的值，其分别用来定义第一类型和第二类型的分组。

图4A示出了第一种类的分组400。该结构类似于在父申请中描述的第一种类的分组400，除了当前提供了用于发送密码信息的附加字段以外。

在替换实施例中，在父申请中描述的第一和第二种类的两种特殊分组被用在不包括内联加密时，并且在需要发送附加的密码信息时定义了特殊的新的附加种类的分组。然而，该描述假设无论是否包括密码都使用第一种类的分组400。

前序、帧定界符开始、目的地地址和源地址字段是标准的。例如，源地址是台站300的地址，目的地地址是交换机329的地址。下一字段403被用作类型字段，并且包括用于新类型的表示为类型1的代码。这里可以使用任何先前未使用的值，只要该值足够大以定义类型，并且未用于其他目的。分组400的剩余部分提供了用于数据传送的指针和长度信息。这是利用标准信息元素列表结构来实现的，该结构开始于指示列表长度的列表长度字段405，然后是每个元素(这种情况下是指针元素和长度元素)的一组类型/长度/值三元组。从而，在列表长度字段405之后是字段407和字段409，字段407承载标识符的，表示为ID_pointer，其将元素标识为指针，字段409表示为Length_pointer，其指示指针数据的长度。下一字段411是指针数据自身，即从其取得数据的交换机存储器中的地址。在指针数据字段411之后是字段413和字段415，字段413承载标识符，表示为ID_Length，其将元素标识为要取得数据的长度，字段415表示为Length_Length，其指示长度信息的长度。下一字段417是长度信息自身，即从交换机存储器取得的数据的长度。

注意，发明人决定使用包括灵活信息元素列表结构的分组，以提供这些分组在未来使用的灵活性。在替换实施例中，当不包括密码信息和用于通过网络链路的流式传输期间的内联加密情形的附加密码信息时，使用更简单的固定长度分组，其在类型字段403之后只包括缓冲指针和缓冲长度信息。

本发明的一个方面在于对于定义所需密码学的参数提供了附加的类型/长度/值三元组，这些参数例如用于对要发送分组或分组一部分加密和对接收到的经加密分组或分组一部分解密。在一个实施例中，用于密码学的附加的类型/长度/值三元组的存在使得交换机执行所请求的密码学。在优选实施例中，第一种类的分组400总是包括要被传递到密码引擎321的信息。一组这样的数据被预定义以不进行加密。此外，如果引擎321利用类型/长度/值三元组正确地配置，则某些密码操作会发生。如果其不被配置，或者被不正确地配置，则其应当充当空(NULL)加密操作，并且不受影响地传递数据。

图4A的第一种类的分组400包括用于三个加密参数的三个附加的类型/长度/值三元组。第一三元组441定义了密钥标识符，其是指向密钥存储345的指针。第一元素ID_KID 419将元素标识为密钥标识符(KID)，字段421表示为Length_KID，其指示密钥指针数据(KID)的长度。下一字段423是密钥标识符(KID)自身，其指向密钥存储345中的密钥。

下一三元组443定义了所用的加密方法和用于该方法的密钥长度。不同的加密方法和不同的密钥长度也被存储在密钥存储345中，从而使由三元组443发送的信息也是指向表的指针的形式。第一元素ID_CrypLen 425将元素标识为用于方法和密钥长度，字段427表示为Length_CrypLen，其指示方法和密钥长度数据的长度。下一字段429是指针自身，其指向密钥存储345中的加密方法和密钥长度。这标识了要用于加密(或者在接收的情形中是解密)的加密方法和密钥长度。在替换实施例中，使用了两个三元组而不是一个来定义加密方法和密钥长度：一个三元组用于方法，另一个三元组用于密钥长度。

图4A示出了描述所用的密钥管理和完整性的另一个三元组445。在一个实施例中，由三元组445传输的信息也是指向交换机中的表的指针的形式，其描述不同的方法。第一元素ID_Integr 431将元素标识为用于完整性和/或认证方法，字段433表示为Length_Integr，其指示完整性和/或认证方法数据的长度。下一字段435是指针自身，其指向密钥存储345中的密码完整性和/或认证方法。这标识了要用于加密(或者在接收的情形中是解密)的完整性和/或认证方法。

在替换实施例中，使用了更多或更少的三元组。例如，对于完整性可以使用单独的一个三元组，而对于认证使用另一个三元组。

无线安全性被涉及到。许多密码选项可用，并且正在开发和引入新的选项，这是本领域技术人员所知的。本发明的一个方面在于可以利用这里描述的结构提供许多不同形式的加密和认证。这里所描述的方法和装置不应当被解释为限于一种方法或另一种。在遵从IEEE 802.11标准的无线网络的情形中，可以使用以下方法中的一种或多种：RC4、AES-CTR、AES-CBC。本发明并不限于任何特定方法。

依赖于应用和舒适级别，可以有多种方式来保护无线LAN。WLAN的安全性不仅涉及数据加密，还涉及消息完整性校验(MIC)和相互认证。

下面对此进行简要讨论，这些主题中的许多对本领域技术人员是已知的。

静态有线等同隐私(WEP)协议提供了一定的安全性。利用静态WEP，所有用户和其关联的所有AP都有相同的加密密钥。这使密钥能被工具(例如，在因特网上可免费获得的工具)破解而降低了安全性。静态WEP也没有提供消息完整性和认证。

动态WEP通过给予每个用户以唯一的单播密钥，并且给予所有用户以相同的广播密钥，而改进了静态WEP。AP维护用户的单播密钥和VLAN的广播密钥。动态WEP比静态WEP强大。然而，仍然存在可获得的用于破解这种方法的工具。动态WEP没有消息完整性，但是利用802.1X和可扩展认证协议(EAP)提供了强大的相互认证。

临时密钥完整性协议(TKIP)被认为是对动态WEP的改进，但是并没有解决所有安全性问题。其被设计为用来克服静态和动态WEP中的弱点的权宜措施。TKIP通过利用加密原语修复WEP具有的某些问题，而改进了安全性。TKIP包括被称为“Michael”的内建消息完整性校验。尽管TKIP关闭了对WEP开放的攻击路径，但是其也打开了其自身的某一攻击路径。某些人相信Michael完整性校验在密码上是弱的，并且通过相当的努力，可以伪造消息。

为了防止这点发生，TKIP包括这样的对策，该对策在在彼此的一分钟内检测到两个MIC故障的情况下，要求AP关闭整个基础服务集(BSS)60秒。这使得AP易受到拒绝服务(DoS)攻击。与动态WEP类似，TKIP通过实现802.1X和EAP提供了强大的相互认证。

为了最大的安全性，IEEE 802.11i计数器模式/CBC-MAC协议(CCMP)提供了基于高级加密标准(AES)的加密和消息认证。CCMP使用AES中的计数器模式以用于数据加密，并使用AES中的密码块链接-消息认证模式(CBC-MAC)以用于消息完整性。AES作为一种强大安全的算法，全世界的密码专家对其进行了大量分析。

因为由第一种类的特殊分组描述的密码交换机制允许实现密码所要求的尽可能多的附加类型/长度/值三元组，所以本发明的一个方面是能够适应所有这些不同方法的能力。

例如，用于遵从IEEE 802.11标准的无线网络的可能密码选项包括：RC4、AES-CTR、AES-CBC。用于遵从IEEE 802.11标准的无线网络的可能完整性选项包括：Michael、AES-CBC-MAC。本发明并不限于任何特定方法。

关于密钥管理，当前的密钥管理由AP处理。有时客户端台站导出其自身和认证服务器之间的密钥。然后，认证服务器将该密钥传递给AP。在替换安排中，AP和客户端台站可以相互地导出密钥。

因为本发明的各方面提供了边缘路由器来维护密钥，而不是AP，并且由于由这里描述的结构所提供的灵活性，所以不同的实现方式允许在AP和交换机之间实现不同级别的知识分割。

图4B示出了第二种类的分组450，网络DMA引擎338建立该第二种类的分组450，以用于发送在第一种类的控制分组400中定义的数据。前序、帧定界符开始、目的地地址和源地址字段同样是标准的。例如，源地址是交换机329的地址，目的地地址是台站300的地址。下一字段453被用作类型字段，并且包括用于另一种不同于控制分组400中所用类型的新类型的表示为类型2的代码。这里可以使用任何先前未使用的值，只要该值足够大以定义类型，并且未用于其他目的。分组450的剩余部分提供了用于数据传送的指针和长度信息。列表长度字段455指示列表长度，在该分组450的情况下，其依赖于发送的数据量。在列表长度字段455之后是每个元素(这种情况下是指针元素、长度元素和传送的数据)的一组类型/长度/值三元组。分别用于指针和长度的类型/长度/值三元组457和459与请求包括的数据的相应控制分组400中的相同。接着跟有密码信息类型/长度/值三元组461、463和465。在密码信息之后是字段471和字段473，字段471承载标识符，表示为ID_data，其将元素标识为传送的数据，字段473表示为Length_data，其指示数据的长度。下一字段475是被传送的来自交换机存储器的数据。

从而，对于发送路径，AP300生成存储器请求。智能DMA引擎324包括信令方法，从而以附加三元组的形式传递密码细节。在一个实施例中，这些在以上内容中已有描述，并且将一个或多个指针传送到密钥存储345。在另一个实施例中，密码信息包括用于一个或多个指针的三元组，指针指向该密码信息被存储在交换机335的存储器中的位置处。在另一个实施例中，作为指向密钥存储345的一个或多个指针形式的密码信息被维护在AP的本地主机存储器315中，并且在形成第一种类的特殊分组以发起流式网络DMA请求时，指针的值被网络DMA引擎封装为密码信息的三元组。从而，附加类型/长度/值三元组中的附加密码信息被添加到请求。交换机中的过滤器337识别特殊类型的分组，并且建立网络分组和使DMA引擎338来执行从交换机存储器的DMA传送。此外，利用密码的附加类型/长度/值三元组，响应于网络分组，DMA引擎还使密码引擎321根据存储在密钥存储345中的信息按请求的进行加密。

注意，在发送数据时，使用第二类型的分组。如在父申请中一样，一个实施例只发送数据。指针和长度三元组被用于充当AP识别响应的引用。从而，在一个实施例中，当形成对要发送数据的请求的响应时，交换机仍然使用该请求，而仅是将类型从请求(第一种类特殊分组)改变为响应(第二种类特殊分组)，并且添加数据类型/长度/值三元组，而保持其他不变。

注意，以上描述对应于用于由主机DMA控制器307执行的存储器取回的分组。

相同的特殊类型分组(在一个实施例中仅仅是其中之一)可用于DMA数据写入，DMA数据写入是在台站300接收数据的情况下进行的。

在接收的情形中，交换机329发送信息，台站300接受信息，该信息描述了将无线接收到的分组的数据元素(例如，接收到的分组的缓冲描述符的缓冲描述符链)写入到交换机存储器335中的何处。每个接收到的缓冲描述符定义了交换机存储器中用于数据元素的交换机存储器位置和的一定量的数据。

另外，根据本发明的一个方面，对数据解密所必需的密码信息被包括在第一和第二种类的分组中。

接收到的缓冲描述符链被存储在低层MAC存储器319中。

当接收到分组时，分组/DMA引擎323建立来自无线接收到的分组的数据元素的分散/聚集DMA传送。用于DMA传送的信息被传输到主机DMA控制器307，主机DMA控制器307建立各个数据元素传送。实际的数据传送作为接收期间的数据流进行，并且包括从无线接收的分组中提取数据元素，然后经由主机总线作为DMA传送传送到网络DMA引擎324(回想一下，这对于主机总线和DMA控制器来说表现为存储器接口)。

在低层MAC引擎(其中加密发生在无线台站处)中，根据密码需求，数据可以传递过耦合到低层MAC处的分组和DMA引擎的加密引擎。然而，根据本发明的一个方面，解密在网络连接328另一端的交换机中执行。从而，密码信息被传递，使得加密引擎321执行任何解密。

考虑要写入到交换机存储器335中的存储器地址的邻接块中的单个数据块的传送。根据DMA请求中的指针地址，主机DMA控制器307确定出该地址是针对网络DMA引擎324的，网络DMA引擎324对于某一地址范围对DMA控制器307来说表现为存储器接口。

来自主机DMA控制器307的DMA请求被网络DMA引擎324翻译为第二特殊类型的分组，该分组包括用于传送的指针和长度数据，以及要写入到交换机存储器中的传送的数据元素。此外，对分组解密所需的密码信息也被以附加三元组的形式包括在内。第二类型的分组(包括密码信息)被经由以太网MAC和PHY接口和网络链路327通过网络发送到交换机329。

在交换机处，第二类型的分组被以太网MAC和PHY接口336接收，该接口336包括过滤器337，过滤器337过滤出第二类型的分组，并将其中的信息(包括数据)传递到网络DMA引擎338。网络DMA引擎338解释请求，建立并将数据写入到交换机存储器335中的存储器位置。另外，在写入之前，网络DMA引擎338解释密码信息，并建立加密引擎321和指向密钥存储345中的数据的指针，以在将数据写入到交换机存储器335中的存储器位置期间执行所需的解密操作。

从而，从无线台站到交换机存储器的经由网络进行的数据流式传输在接收期间实时发生，包括实时地对在接收期间的数据进行解密。

注意，尽管在图示实施例中，交换机和无线台站中的网络DMA引擎324和338(其解释特殊分组，并将特殊分组转换为存储器流请求)各自都被示为网络控制器的分组引擎的一部分，但是在替换实施例中，这些方面在交换机和无线台站的每一个中的独立设备中执行。

尽管当今的处理器使得网络DMA引擎324和338以及加密引擎321可能是位于特殊硬件中，但是发明人认识到未来的可编程处理器可能足够快以实现这种网络DMA引擎。从而，网络DMA和加密/解密功能可以实现在硬件中，可以实现在软件(包括固件)中作为运行在可编程处理器上的一个或多个代码段，或者可以实现在硬件和软件的组合中。

类似地，尽管在一个实施例中，分组/DMA引擎323实现在硬件中，但是发明人认识到未来的可编程处理器可能足够快以实现分组/DMA引擎323的功能的某些或全部。从而，分组/DMA引擎功能可以实现在硬件中，可以实现在软件(包括固件)中作为运行在可编程处理器上的一个或多个机器可读代码段，或者可以实现在硬件和软件的组合中。

还要注意，尽管图示实施例将密钥存储包括为单元331中的单独硬件元件，但是在替换实施例中，存储345的加密数据可被存储为作为交换机存储器335的一部分的数据结构。

图3示出了包括低层MAC和MAC主机的接入点芯片的芯片边界。在一个实施例中，主机处理器311是MIPS 5K处理器内核，主机总线是“SOC-it”总线(两者都来自于CA，Mountain View的MIPSTechnologies，Inc.)。

在发送期间意味着在包括被流式传输的数据的分组正被发送的期间。例如，“在发送期间”排除了被流式传输的数据被包括在在台站的主机存储器中排队的分组中以用于后续发送的情形。

在接收期间意味着在分组正被接收的期间，例如，在只有一个MAC处理器的情形中，在下一个接收的分组被MAC处理器在MAC级别处理之前。

这里所描述的每个方法的一个实施例是以指示机器实现方法的一组指令的形式存在的。从而，本领域技术人员将会意识到，本发明的实施例可以实现为方法、诸如专用装置之类的装置、诸如数据处理系统之类的装置、或者载体介质，例如计算机程序产品。载体介质承载用于控制处理系统的处理器以实现方法的一个或多个计算机可读代码段。因此，本发明的各方面可以采用方法的形式、完全硬件实施例的形式、完全软件实施例的形式或者组合软件和硬件方面的实施例的形式。此外，本发明可以采用承载实现在介质中的计算机可读程序代码段的载体介质(例如，计算机可读存储介质上的计算机程序产品)的形式。可以使用包括存储器在内的任何合适的计算机可读介质。

应当理解，在一个实施例中，所讨论的方法的步骤是由执行存储在存储介质中的指令(代码段)的处理(例如计算机)系统的适当的(一个或多个)处理器执行的。应当理解，本发明并不限于任何特定的实现方式或编程技术，并且本发明可以利用用于实现这里描述的功能的任何适当的技术来实现。本发明并不限于任何特定的编程语言或操作系统。

整篇说明书中提及的“一个实施例”或“实施例”意味着结合实施例所描述的特定特征、结构或特性被包括在本发明的至少一个实施例中。从而，在整篇说明书中各处出现的短语“在一个实施例中”或“在实施例中”并不一定都是指相同的实施例。此外，特定特征、结构或特性可以在一个或多个实施例中以任何合适的方式加以组合，本领域技术人员从本公开中可以清楚这一点。

类似地，应当意识到，在本发明的示例性实施例的以上描述中，本发明的各种特征有时在单个实施例、附图或其描述中被组合在一起，以使公开文件流畅并有助于理解各种创造性方面中的一个或多个。然而，该公开的方法并不是要解释为反映出要求保护的发明需要比每个权利要求中明确表达的特征更多的特征。相反，如下面的权利要求所反映的，创造性方面比在前述单个公开实施例的所有特征少。从而，权利要求被结合在该具体实施方式中，其中每个权利要求自身代表本发明的单独实施例。

还应当意识到，尽管在耦合到接入点的网络交换机的上下文中描述了本发明，但是本发明并不限于这种上下文，而是可以用在各种其他应用和系统中，例如用在包括经由网络链路耦合到任何网络设备的任何无线台站的系统中。此外，本发明并不限于任何一种类型的网络体系结构和封装方法，而是可以与其他网络体系结构/协议中的一种或其组合结合使用。

注意，发明人发现对于当前可获得的IEEE 802.11标准，至少与G比特以太网一样快的以太网提供了所需的等待时间。然而，本发明并不限于使用以太网作为台站和无线设备之间的链路，而是可以使用G比特以太网或更快的链路。例如，可以使用无线网络协议，该协议足够慢，从而使得可以使用100MB以太网链路。另外，可以引入需要至少10GB以太网链路的更快的无线协议。所有这些都被包括在本发明的范围内。

这里提到的所有公开、专利和专利申请都通过引用结合于此。

从而，尽管已经描述了被认为是本发明优选实施例的实施例，但是本领域技术人员将认识到，在不脱离本发明的精神的前提下可以对其进行其他和进一步的修改，并且所有这些变化和修改都落在本发明的范围内。例如，以上给出的任何规则仅仅代表可以使用的流程。可以向框图中添加功能，从框图中删除功能，并且可以交换各功能块之间的操作。对于在本发明的范围内描述的方法，可以向其添加步骤或者从其删除步骤。

Claims

1.一种用在无线网络的台站中的方法，所述台站通过网络链路耦合到网络设备，所述网络设备包括存储器，所述方法用于在所述台站处的无线发送或无线接收期间，通过所述网络链路流式传输来自或去往所述网络设备的存储器的数据，所述方法包括：

接受信息，该信息在发送情形中描述从何处取回包括要无线发送的分组的至少一些数据的数据元素，或者在接收情形中描述将包括来自无线接收到的分组的至少一些数据的数据元素写到何处，所接受的信息包括定义所述网络设备的存储器中用于所述数据元素的存储器位置和数据量的信息，所接受的信息在发送情形中还包括指定要执行的任何加密的信息，并且在接收情形中还包括指定要执行的任何解密的信息；

在发送情形中建立所述要无线发送的分组的数据元素的直接存储器存取传送，在接收情形中建立所述来自无线接收到的分组的数据元素的直接存储器存取传送，所述建立使用定义信息，所述建立在发送情形中包括指定要执行的任何加密，并且在接收情形中包括指定要执行的任何解密；以及

在发送情形中：

将所述定义信息转换为第一类型分组以通过所述网络链路传输；

经由所述网络链路将所述第一类型分组发送到所述网络设备，在所述网络设备处，所述第一类型分组被解释来根据所述定义信息来开始发送来自所述网络设备存储器的数据元素，包括对数据元素加密；

响应于发送所述第一类型分组，接收第二类型分组，所述第二类型分组包括按照指定加密的所述数据元素；

从所述第二类型分组提取出所述数据元素；以及

将所述数据元素并入到分组中以用于发送，

或者，在接收情形中：

从所述无线接收到的分组中提取出所述数据元素；

封装所述定义信息和所提取出的数据元素来形成所述第二类型分组，以通过所述网络链路传输要根据所述定义信息被写入到所述网络设备存储器中的所述数据元素；以及

将所述第二类型分组发送到所述网络设备，在所述网络设备处，所述第二类型分组被解释来使得所述被封装数据元素根据所述定义信息被写入到所述网络设备存储器中，包括解密所述数据元素，

从而使在发送情形中，包括任何加密在内的通过所述网络链路对并入到所述要无线发送的分组中的数据元素的传送在无线发送所述要无线发送的分组期间实时发生，而在接收情形中，包括任何解密在内的对所述来自无线接收到的分组的数据元素的传送在无线接收所述无线接收到的分组期间实时发生，并且

从而使对所述数据元素的任何加密在从所述网络设备通过所述网络链路传送包含所述数据元素的所述第二类型分组之前发生，而任何解密在通过所述网络链路向所述网络设备传送具有所述数据元素的所述第二类型分组之后发生。

2.如权利要求1所述的方法，其中所述网络设备是包括存储器的网络交换机，在无线发送期间数据从所述存储器流式传输，或者在无线接收期间数据流式传输到所述存储器。

3.如权利要求1或2所述的方法，其中建立所述直接存储器存取传送是建立多个数据元素的分散/聚集直接存储器存取传送的一部分。

4.如权利要求2所述的方法，

其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路，其中所述网络设备是网络交换机，

所述无线网络是遵从IEEE 802.11标准或其衍生标准之一的网络，并且

其中所述第一类型分组和所述第二类型分组分别是第一类型和第二类型的以太网分组。

5.如权利要求2所述的方法，其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路。

6.如权利要求2所述的方法，其中所述无线台站是所述无线网络的接入点。

7.如权利要求2所述的方法，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

8.一种用在通过网络链路耦合到无线网络的无线台站的网络设备中的方法，所述网络设备包括存储器，所述方法用于在所述无线台站处的无线发送或无线接收期间，通过所述网络链路流式传输来自或去往所述网络设备存储器的数据，所述方法包括：

通过所述网络链路将信息发送到所述无线台站，该信息在发送情形中描述从何处取回包括要无线发送的分组的至少一些数据的数据元素，或者在接收情形中描述将包括来自无线接收到的分组的至少一些数据的数据元素写到何处，所述信息包括定义所述网络设备存储器中用于所述数据元素的存储器位置和数据量的信息；

接受加密信息，该加密信息在发送情形中描述如何对要无线发送的分组的至少一些数据加密，或者在接收情形中描述如何对来自无线接收到的分组的至少一些数据解密；以及

在所述发送情形中：

经由所述网络链路接收来自所述无线台站的第一类型分组，所述第一类型分组包括描述从何处取回所述数据元素和如何加密的信息；

从所述存储器取回所述数据元素；

形成包括所取回的数据的第二类型分组，包括所请求的加密数据；以及

响应于所述接收将所述第二类型分组发送到所述无线台站，或者，

在所述接收情形中：

接收来自所述无线台站的第二类型分组，所述第二类型分组封装所述数据元素，并且包括描述向何处写入所述数据元素和如何对所述数据元素解密的信息；

从所述第二类型分组中提取出所封装的数据，包括对所述数据元素解密；

根据所接收到的第二类型的分组中的信息将所提取出的数据写入到所述存储器中，

从而使在发送情形中，包括任何加密在内的通过所述网络链路对并入到要无线发送的分组中的数据的传送在无线发送所述要无线发送的分组期间实时发生，而在接收情形中，包括任何解密在内的通过所述网络链路对来自无线接收到的分组的数据的传送在无线接收所述无线接收到的分组期间实时发生。

9.如权利要求8所述的方法，其中所述网络设备是网络交换机。

10.如权利要求8所述的方法，

其中关于从何处取回数据元素或者将数据元素写到何处的信息被用于建立直接存储器存取传送，并且

其中建立所述直接存储器存取传送是建立多个数据元素的分散/聚集直接存储器存取传送的一部分。

11.如权利要求8到10中任一个所述的方法，其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路。

12.如权利要求8到10中任一个所述的方法，其中所述无线台站是所述无线网络的接入点。

13.如权利要求8到10中任一个所述的方法，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

14.如权利要求13所述的方法，其中所述分组是802.11MAC分组。

15.一种用于无线发送信息分组的方法，所述方法包括：

在网络链路的端点无线发送分组期间从网络设备通过所述网络设备耦合到的所述网络链路流式传输包括所述分组的至少一些内容的数据元素，其中所述网络链路的端点接收所流式传输的数据元素，并且所述流式传输包括在从所述网络设备通过所述网络链路传送之前实时加密所述数据；以及

在流式传输发生的同时无线发送信息分组，

使得无线发送所述分组在所述分组的至少一部分正从所述网络设备通过所述网络链路流式传输的同时发生，

其中所述网络链路是利用具有与正被无线发送的信息分组不同结构的分组分组化的链路。

16.如权利要求15所述的方法，其中所述发送是由无线网络的无线台站执行，所述无线台站是所述网络链路的端点，并且所述流式传输是从通过所述网络链路耦合到所述无线台站的所述网络设备去往所述无线台站。

17.如权利要求16所述的方法，其中所述网络设备是包括存储器的网络交换机，在无线发送期间所述数据从所述存储器流式传输。

18.如权利要求16所述的方法，其中所述网络设备包括存储器，在无线发送期间所述数据从所述存储器流式传输，

其中所述方法还包括：

形成对所述数据元素的直接存储器存取请求和加密信息；

将所形成的直接存储器存取请求和所述加密信息转换为第一分组，以通过所述网络链路传输；以及

通过所述网络链路将所述第一分组发送到所述网络设备；并且其中所述流式传输包括

通过所述网络链路接收来自所述网络设备的第二分组，所述第二分组包含根据所述加密信息加密的所述数据元素，

从而使得对所述数据的数据元素的流式传输包括通过所述网络链路传送包含所述数据元素的第二分组，并且使得所述加密在流式传输期间实时发生。

19.如权利要求18所述的方法，还包括：

从所述网络设备接收关于要无线发送的数据驻留在所述网络设备的存储器中何处的直接存储器存取信息，

使得形成所述直接存储器存取请求利用所接收到的直接存储器存取信息。

20.如权利要求18所述的方法，

其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路，并且所述网络设备是网络交换机，

其中所述无线网络是遵从IEEE 802.11标准或其衍生标准之一的网络，并且，

其中所述第一和第二分组分别是第一类型和第二类型的以太网分组。

21.如权利要求18到20中任一个所述的方法，其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路。

22.如权利要求16到20中任一个所述的方法，其中所述无线台站是所述无线网络的接入点。

23.如权利要求16到20中任一个所述的方法，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

24.一种用于无线接收信息分组的方法，所述方法包括：

无线接收信息分组；以及

在无线接收分组的接收期间通过网络链路向网络设备流式传输包括所无线接收的分组的至少一些内容的数据元素；

使得在所述流式传输期间实时对所述数据元素解密，所述解密在通过所述网络链路向所述网络设备传送之后发生，并且

使得无线接收所述分组在所述分组的至少一部分正通过所述网络链路被流式传输的同时发生，

其中所述网络链路是利用具有与正被无线接收的信息分组不同结构的分组分组化的链路。

25.如权利要求24所述的方法，其中所述接收由无线网络的无线台站执行，并且所述流式传输是从所述无线台站去往通过所述网络链路耦合到所述台站的所述网络设备。

26.如权利要求25所述的方法，其中所述网络设备是包括存储器的网络交换机，在无线接收期间数据流式传输到所述存储器。

27.如权利要求25所述的方法，其中所述网络设备包括存储器，在无线接收期间数据流式传输到所述存储器，所述方法还包括：

形成定义信息，所述定义信息包括用于写入所述数据元素的直接存储器存取请求和解密信息；

封装所述定义信息和所述数据元素来形成特定类型的分组，以通过所述网络链路传输到所述网络设备；以及

通过所述网络链路将所述特定类型的分组发送到所述网络设备，以根据所述解密信息对所述数据元素进行解密，并且以根据所形成的直接存储器存取请求将经解密的数据元素写入到所述网络设备的存储器中，

从而使得利用所述特定类型的分组流式传输所述数据的数据元素。

28.如权利要求27所述的方法，还包括：

从所述网络设备接收关于无线接收到的数据要写入到所述网络设备的存储器中何处的信息，

从而使得形成所述直接存储器存取请求利用从所述网络设备接收到的信息。

29.如权利要求27所述的方法，

其中所述无线网络是遵从IEEE 802.11标准或其衍生标准之一的网络，并且

其中所述特定类型的分组是以太网分组。

30.如权利要求24到29中任一个所述的方法，其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路。

31.如权利要求25到29中任一个所述的方法，其中所述无线台站是所述无线网络的接入点。

32.如权利要求25到29中任一个所述的方法，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

33.如权利要求25到29中任一个所述的方法，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一，并且其中所述分组是802.11MAC分组。

34.一种在无线网络中工作的无线台站中的装置，所述装置包括：

本地存储器，其能够接收描述获得包括要无线发送的分组的至少一些数据的数据元素的位置的信息，所述位置位于通过网络链路耦合到所述无线台站的网络设备的存储器中；

耦合到所述本地存储器的分组/直接存储器存取引擎，所述分组/直接存储器存取引擎能够建立所述要无线发送的分组的数据的直接存储器存取传送，所述建立利用所述存储器中的接收到的信息，并且形成定义所述网络设备的存储器中的一组至少一个位置以及定义描述如何对数据加密的密码信息的信息；以及

耦合到所述分组/直接存储器存取引擎的网络接口，所述网络接口包括网络直接存储器存取引擎，所述网络直接存储器存取引擎能够接受对数据传送的第一直接存储器存取请求，并且能够将定义信息转换为第一类型分组，并致使所述网络接口通过所述网络接口耦合到的网络链路发送所述第一类型分组，从而使兼容的网络设备能解释并取回由所述定义信息定义的数据，包括解释所述密码信息并相应地对所述数据加密，所述网络接口还能够识别并向所述网络直接存储器存取引擎提供通过所述网络链路接收到的第二类型分组，所述第二类型分组包括由定义信息定义的数据，所述网络直接存储器存取引擎还能够将所提供的第二类型分组转换为其中包括的数据，

从而使在所述无线台站耦合到第一网络并且通过所述第一网络从也耦合到所述第一网络的第一网络设备接收到第一第二类型分组的情形中，所述接收第一第二类型分组是响应于发送第一第一类型分组而进行的，并且由所述第一网络设备发送所述第一第二类型分组是所述网络直接存储器存取引擎接受所述第一直接存储器存取请求的结果，所述第一直接存储器存取请求定义要从所述第一网络设备的存储器取回的数据，并且定义要执行的任何加密，所述网络直接存储器存取引擎以在所述第一直接存储器存取请求中定义的数据来对所述第一直接存储器存取请求作出响应，并且

从而使通过所述第一网络传送并入到要无线发送的分组中的数据能在发送期间实时发生，包括在通过所述第一网络传送之前进行加密。

35.如权利要求34所述的装置，

其中所述本地存储器还能够接收描述来自无线接收到的分组的数据元素将被存储到的位置的信息，所述位置位于通过所述网络链路耦合到所述无线台站的所述网络设备的存储器中，

其中所述分组/直接存储器存取引擎利用所述本地存储器中的接收到的信息还能够建立包括所述无线接收到的分组的至少一些内容的数据元素的直接存储器存取传送，所述建立包括定义描述如何对接收到的数据解密的密码信息，

其中所述网络直接存储器存取引擎还能够形成第二类型分组，所述第二类型分组包括由第二直接存储器存取请求中的信息定义的数据元素，并且包括由所述网络直接存储器存取引擎接受的描述如何对接收到的数据解密的密码信息，并且

其中所述网络接口还能够发送所形成的第二类型分组，

从而使在所述台站耦合到所述第一网络并且所述第一网络设备也耦合到所述第一网络的情形中，作为所述网络直接存储器存取引擎接受所述第二直接存储器存取请求的结果，第二第二类型分组通过所述第一网络被发送到所述第一网络设备，所述第二直接存储器存取请求定义了要被发送到所述第一网络设备的存储器的数据，包括如何对数据解密，并且

从而使通过所述网络链路传送来自无线接收到的分组的数据在接收期间实时发生，其中任何实时解密在通过所述网络链路传送之后发生。

36.如权利要求34所述的装置，所述装置还包括：

耦合到主机总线子系统的主机处理器；和

耦合到所述主机总线子系统的主机直接存储器存取控制器，

其中所述分组/直接存储器存取引擎也耦合到所述主机总线子系统，并且能够与所述主机直接存储器存取控制器进行通信，

从而使所述分组/直接存储器存取引擎建立直接存储器存取传送包括所述分组/直接存储器存取引擎指示所述主机直接存储器存取控制器建立所述直接存储器存取传送，并且

从而使所述网络直接存储器存取引擎对所述主机直接存储器存取控制器表现为存储器接口，

其中所述本地存储器还能够接收描述将来自无线接收到的分组的数据元素存储到的位置的信息，所述位置位于通过所述网络链路耦合到所述无线台站的所述网络设备的存储器中，

其中所述分组/直接存储器存取引擎利用所述本地存储器中的接收到的信息还能够建立包括所述无线接收到的分组的至少一些内容的数据元素的直接存储器存取传送，

其中所述网络直接存储器存取引擎还能够形成第二类型分组，所述第二类型分组包括由第二直接存储器存取请求中的定义信息定义的数据元素，并且

其中所述网络接口还能够发送所形成的第二类型分组。

37.如权利要求36所述的装置，其中所述分组/直接存储器存取引擎包括用来建立多个数据元素的传送的分散/聚集直接存储器存取控制器。

38.如权利要求34到37中任何一个所述的装置，其中所述网络设备是包括存储器的网络交换机，在无线发送期间数据从所述存储器流式传输。

39.如权利要求34到37中任何一个所述的装置，其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路。

40.如权利要求34到37中任一个所述的装置，其中所述无线台站是所述无线网络的接入点。

41.如权利要求34到37中任一个所述的装置，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

42.如权利要求34到37中任何一个所述的装置，

其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一，并且

要无线发送的分组是802.11MAC分组。

43.一种用于无线发送信息分组的设备，所述设备包括：

用于在网络链路的端点无线发送分组期间从网络设备通过所述网络链路流式传输包括所述分组的至少一些内容的数据元素的装置，其中所述网络链路的端点接收从所述网络设备流式传输的数据元素，并且所述流式传输包括在通过所述网络链路传送之前实时加密所述数据，使得通过所述网络链路传送所述数据元素在加密之后发生；以及

用于在从所述网络设备的流式传输发生的同时无线发送信息分组的装置，

其中，用于流式传输的装置在所述用于无线发送的装置无线发送所述分组期间将所述数据元素流式传输到所述用于无线发送的装置，

使得无线发送所述分组在所述分组的至少一部分正以加密的形式从所述网络设备通过所述网络链路流式传输的同时发生，

44.如权利要求43所述的设备，其中所述发送是由无线网络的无线台站执行的，所述无线台站是所述网络链路的端点，并且所述流式传输是从通过所述网络链路耦合到所述无线台站的所述网络设备去往所述无线台站。

45.如权利要求44所述的设备，其中所述网络链路是G比特以太网链路，或者至少与G比特以太网链路一样快的以太网链路。

46.如权利要求44到45中任一个所述的设备，其中所述无线台站是所述无线网络的接入点。

47.如权利要求44到45中任一个所述的设备，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

48.如权利要求44到45中任一个所述的设备，

要无线发送的分组是802.11MAC分组。

49.一种用于无线接收信息分组的设备，所述设备包括：

用于无线接收信息分组的装置；以及

用于在无线接收分组的接收期间通过网络链路向网络设备流式传输包括加密形式的所无线接收的分组的至少一些内容的数据元素的装置；

使得在所述流式传输期间实时对所述数据元素解密，所述解密在通过所述网络链路向所述网络设备传送之后发生，

其中所述网络链路是分组来链接不与正被无线接收的信息分组相对应的分组的链路。

50.如权利要求49所述的设备，其中所述接收由无线网络的无线台站执行，并且所述流式传输是从所述无线台站去往通过所述网络链路耦合到所述无线台站的所述网络设备。

51.如权利要求50所述的设备，其中所述无线台站是所述无线网络的接入点。

52.如权利要求50到51中任何一个所述的设备，其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一。

53.如权利要求50到51中任何一个所述的设备，

其中所述无线网络遵从IEEE 802.11标准或其衍生标准之一，并且其中所述分组是802.11MAC分组。