-
Die Erfindung betrifft ein Verfahren
und eine Anordnung zur applikationsspezifischen Protokollauswahl
bei Sendezugriffen eines in einem paketorientierten Netzwerk lokalisierten
Netzelements auf eine externe Einrichtung.
-
Zur Reduktion der Anzahl der für die weltweite
Kommunikation in paketorientierten Netzwerken benötigten globalen
Adressen werden in lokalen Netzwerken (Local Area Networks, LAN)
oftmals Verfahren zur Adressumsetzung eingesetzt. Derartige Verfahren
erfolgen meist mit einer Zuordnung privater, d.h. nur lokal eindeutiger
und daher nur lokal gültiger
Adressen für
kommunizierende Netzelemente im lokalen Netzwerk auf globale Adressen.
Eine Adressierung erfolgt üblicherweise
z.B. mit einer IP-Adresse (Internet Protocol).
-
Für
eine Kommunikation mit Kommunikationspartnern außerhalb des lokalen Netzwerks
ist eine Umsetzung der lokalen Adressen in andere lokale bzw. globale
Adressen notwendig. Dieses Verfahren wird in der Fachwelt als Adressumsetzung
bezeichnet.
-
Eine Kommunikation mit einem außerhalb des
LAN – insbesondere
im Internet – lokalisierten Endpunkt
aufbauendes Netzelement wird über
ein vorbehaltenes Netzelement, im folgenden Netzknoteneinrichtung
genannt, eine globale Adresse zugeordnet. Funktionen einer derartigen
Netzknoteneinrichtung übernimmt
meist ein hierfür
vorgesehener Router, oder auch für
eine Netzwerkverwaltung eingesetzte Rechnersystem, auch Proxy-Server
oder Gateway genannt. Im folgenden wird auf alle derartige Netzknoteneinrichtungen
vereinfachend mit dem Begriff "Router" Bezug genommen.
-
Durch die Adressumsetzung ergibt
sich der Vorteil, dass mehrere Netzelemente mit unterschiedlichen,
lediglich LAN-intern gültigen
IP-Adressen über
eine einzige IP-Adresse des Routers an der Datenkommunikation beteiligt
sind. Diese IP-Adresse wird üblicherweise
von einem sogenannten Provider für
die jeweilige Datenkommunikationssitzung zugewiesen. Über den
Router wird das über
den Provider verfügbare
Netzwerk – üblicherweise
das Internet – an
das lokale Netzwerk angebunden.
-
Zur Anbindung des Routers an den
Provider werden beispielsweise Kommunikationsverbindungen gemäß den bekannten
Standards ISDN (Integrated Services Digital Network), ADSL (Asymmetrical Digital
Subscriber Line) usw. verwendet. Der Router unterstützt hierbei – je nach
vom Provider unterstützten
logischen Schnittstellen – eines
oder mehrere Kommunikationsprotokolle. Eine Auswahl unterstützter Kommunikationsprotokolle
ist beispielsweise in Veröffentlichungen
der IETF (Internet Engineering Task Force), auch RFC (Request for
Comment) genannt, spezifiziert.
-
Beispiele für derartige Kommunikationsprotokolle
sind PPP (Point to Point Protocol), definiert in RFC 1661; PPP over
ISDN, definiert in RFC 1618; PPPoA (PPP over ATM Adaptation Layer
5, Rsynchronous Transfer Mode); PPPoE (PPP over Ethernet), definiert
in RFC 2516; PPTP (Point to Point Tunneling Protocol), definiert
in RFC 2637 usw.
-
In dem Dokument RFC 3027 der IETF
werden verschiedene Applikationen bzw. Kommunikationsprotokolle
genannt, bei deren Anwendung Probleme mit einer Adressumsetzung
auftreten. Diese Probleme ergeben sich großteils durch die Tatsache, dass
in einem Netzelement des lokalen Netzwerks ablaufende Applikation
für Sendezugriffe
auf Kommunikationspartner außerhalb
des paketorientierten Netzwerks über
die Adressumsetzung die Adresse – üblicherweise die IP-Adresse – des Routers
als Ursprungsadresse verwenden. Die Adresse des Routers wiederum ist
dem Router vom Provider zugewiesen worden. Bei den genannten Applikationen
ist jedoch eine "transparente" Verbindung zum Provider notwendig,
d.h, eine Verbindung ohne eine Routerinteraktion mit einer direkten
Adressierung des Netzelements.
-
Unter einer transparenten Verbindung
wird dabei eine Kommunikationssitzung verstanden, die über ein üblicherweise
verbindungslos gestaltetes paketorientiertes Netzwerk mit dem Charakter
einer "festzugeordneten" Verbindung (auch "Session" genannt) geführt wird.
Ein Aspekt einer derartigen transparente Verbindung besteht darin,
dass bei einer Kommunikation des Netzelements mit dem Provider auch
das – gewöhnlich als
sogenannter Client agierende – Netzelement
gegebenenfalls als sog. Server fungiert. Wenn das in einem paketorientierten Netzwerk
mit Adressumsetzung angeordnete Netzelement demzufolge einen Sendezugriff
aufbauen will, ist es außerhalb
dieses Netzwerks "unsichtbar", d.h. nicht über eine
eindeutige globale Adresse zuordenbar. Zahlreiche Applikationen
bzw. deren zugeordnete Kommunikationsprotokolle auf einer Applikationsschicht
benötigen
zur Kommunikation jedoch eine derartige transparente Verbindung,
so dass diese Applikationen in der obig beschriebenen Anordnung mit
einem lokalen Netzwerk und einem das lokale Netzwerk mit dem Provider
verbindenden, eine Adressumsetzung durchführenden Router nicht einsetzbar
sind.
-
Beispiele für Applikationen, die eine transparente
Verbindung benötigen
sind VoIP-Applikationen ("Voice
over Internet Protocol")
mit bekannten Kommunikationsprotokollen wie beispielsweise H.323 oder
SIP (Session Initiation Protocol), "active ftp" (File Transfer Protocol) und viele
andere.
-
Ein Verfahren für einen bedarfsweisen Aufbau
einer transparenten Verbindung wurde in der am gleichen Tag hinterlegten
Anmeldung mit dem internen Aktenzeichen 2002P12810DE und dem Titel "Verfahren zum transparenten
Austausch von Datenpaketen" vorgeschlagen,
das sich durch ein Netzknotenelement aus zeichnet, über das
ein Netzelement durch Einleitung einer Kommunikationsverbindung nach
einem vorbehaltenen Kommunikationsprotokoll eine transparente Verbindung
aufbauen kann. Der Router erkennt dabei das von dem betreffende
Netzelement verwendete Kommunikationsprotokoll und richtet bei vorbehaltenen
Kommunikationsprotokollen eine transparente Verbindung ein. Das
vorbehaltene Kommunikationsprotokoll wird hierbei von einem Bediener
des Netzelements – z.B.
durch Auswahl eines für
das vorbehaltene Kommunikationsprotokoll zu verwendenden Treibers – eingestellt.
-
Aufgabe der Erfindung ist es, ein
Verfahren anzugeben, das eine flexiblere Einstellung eines jeweiligen
Kommunikationsprotokolls ermöglicht.
-
Eine Lösung der Aufgabe erfolgt hinsichtlich ihres
Verfahrensaspekts durch ein Verfahren mit den Merkmalen des Patentanspruchs
1 und hinsichtlich ihres Vorrichtungsaspekts durch eine Anordnung
mit den Merkmalen 7.
-
Das erfindungsgemäße Verfahren ist beispielsweise
anwendbar für über ein
paketorientiertes Netzwerk verbundene Netzelemente, denen eine nur innerhalb
des Netzwerks eindeutige Adresse zugewiesen ist. Die Netzelemente
sind über
eine externe Einrichtung – beispielsweise
einem Internet Service Provider, abgekürzt ISP – an ein Datenkommunikationsnetzwerk
wie beispielsweise dem Internet angebunden. Der Übergang vom paketorientierten
Netzwerk zum Provider erfolgt über
eine Netzknoteneinrichtung, vorzugsweise einem Multiprotokoll-Router.
-
Erfindungsgemäß erfolgt bei einem Sendezugriff
des Netzelements eine Überprüfung, welche im
Netzelement ablaufende Applikation den Sendezugriff anfordert. Abhängig von
der ermittelten Applikation wird daraufhin ein Kommunikationsprotokoll für den Sendezugriff
ausgewählt
und der Sendezugriff unter Verwendung dieses Kommunikationsprotokolls über eine
Schnittstelleneinheit zum paketorientierten Netzwerk eingeleitet.
-
Ein wesentlicher Vorteil des erfindungsgemäßen Verfahrens
ist darin zu sehen, dass eine automatisierte Wahl des Kommunikationsprotokolls
erfolgt. Damit ist ein Bediener des Netzelements von einer manuellen
Wahl eines für
bestimmte Applikationen erforderlichen Kommunikationsprotokolls
entbunden. Statt dessen erfolgt eine vorteilhafte Auswahl des Kommunikationsprotokolls
nach den Gegebenheiten und Anforderungen der den Sendezugriff anfordernden
Applikation.
-
In vorteilhafter Weise ist mit dieser
verbindungsabhängigen
Zugriffskontrolle, das heißt
mit der Auswahl eines Kommunikationsprotokolls für eine bestimmte Applikation,
ein Schutz vor unautorisierten Kommunikationszugriffen auf das Netzelement,
zum Beispiel durch einen Rechner, der außerhalb des paketorientierten
Netzwerks lokalisiert ist, gegeben. So ist es zum Beispiel während einer
unabhängigen Kommunikation
einer ersten Applikation A sowie einer zweiten Applikation B mit
der externen Einrichtung nicht möglich,
dass über
die Applikation A ein unerlaubter Kommunikationszugriff auf die
Applikation B zustande kommt.
-
Ein weiterer Vorteil des erfindungsgemäßen Verfahrens
ist darin zu sehen, dass lediglich am Netzelement registrierte Applikationen
eine Verbindung zur externen Einrichtung aufbauen können. Unter diesem
Aufbau einer Verbindung sind Sendezugriffe anderer, an das Netzwerk
der externen Einrichtung angeschlossener Netzelement zu verstehen.
Unautorisierte Zugriffe von einem Netzelement im Kommunikationsnetzwerk
der externen Einrichtung sind demgemäss ausschließlich in
Verbindung mit einer zugeordneten Applikation möglich. Damit ist vorteilhaft
eine hohe Sicherheit vor unautorisierten Zugriffen auf das Netzelement
gegeben.
-
Das erfindungsgemäße Verfahren gestattet darüber hinaus
eine Zuweisung unkritischer Applikationen, denen ein ausschließlicher
Kommunikationszugriff erlaubt ist. Eine Auswahl unkritischer Applikationen
beschränkt
sich dabei zum Beispiel auf Applikation wie zum Beispiel VoIP-Client-Applikationen (Voice
over Internet Protocol), Browser wie dem Internet Explorer, oder
Kommunikationsapplikationen wie Netmeeting, die unter Kontrolle
eines Bedieners ausgeführt
werden.
-
Vorteilhafte Weiterbildungen der
Erfindung sind in den Unteransprüchen
angegeben.
-
Ein Ausführungsbeispiel der Erfindung
wird im Folgenden anhand der Zeichnung näher erläutert. Dabei zeigt:
-
1:
ein Strukturbild zur schematischen Darstellung einer Datenkommunikationsverbindung zwischen
einem Netzelement und einer Netzknoteneinrichtung.
-
In 1 ist
ein Netzelement PC sowie eine Netzknoteneinrichtung ROU dargestellt.
Sowohl das Netzelement PC als auch die Netzknoteneinrichtung ROU
sind an ein – nicht
dargestelltes – paketorientiertes
Netzwerk angeschlossen.
-
Das beispielsweise als Rechnersystem
ausgestaltete Netzelement PC verfügt neben – nicht dargestellten – weiteren
rechnersystemtypischen Komponenten über eine Anschlusseinheit LAN,
eine Protokoll-Selektiereinheit PS sowie über eine Zugriffskontrolleinheit
AS.
-
Am Netzelement PC werden Applikationen ausgeführt, von
denen eine erste Applikation AP1, eine zweite Applikation AP2 und
eine dritte Applikation AP3 exemplarisch dargestellt sind. Die Punkte
in der Zeichnung versinnbildlichen, dass neben den genannten drei
Applikationen AP1,AP2,AP3 weitere Applikationen am Netzelement PC
zur Ausführung kommen.
Neben kommunizierenden Applikationen AP1,AP2 werden am Netzelement
PC Applikationen ausgeführt,
welche keine Kommunikation benötigen, beispielsweise
die dritte Applikation AP3.
-
Die Protokoll-Selektiereinheit PS
beinhaltet ein PPPoE-Protokollmodul
(Point-to-Point-Protocol over Ethernet) POE, ein IP-Protokollmodul
(Internet Protocol) PIP ("Pure
IP") sowie ein PPTP-Protokollmodul
(Point to Point Tunneling Protocol) PTP. Die Punkte in der Zeichnung
versinnbildlichen, dass neben den drei genannten Protokollmodulen POE,PIP,PTP
bei Bedarf weitere Protokollmodule von der Protokoll-Selektiereinheit
PS verwaltet werden.
-
Zur besseren Bezugnahme auf zugehörige Datenpaketströme – im folgenden
auch mit "Kommunikationswege" bezeichnet – der ersten
und zweiten Applikation AP1,AP2 ist der Kommunikationsweg der zweiten
Applikation AP2 mit einer strichpunktierten Linie, der Kommunikationsweg
der ersten Applikation AP1 mit einer durchgezogenen Linie dargestellt.
Da die Kommunikation über
Datenpakete erfolgt, ist die Darstellung der Kommunikationswege
mit Linien nur sinnbildlich zu verstehen. Dem Kommunikationsweg der
zweiten Applikation AP2 ist als Bezugszeichen eine eingekreiste '2' zugeordnet, entsprechend
dem Kommunikationsweg der ersten Applikation AP1 eine eingekreiste '1'.
-
In der folgenden Darstellung werden
die Kommunikationswege 1, 2 in einer von den kommunizierenden
Applikationen AP1,AP2 ausgehender Richtung beschrieben. Die Kommunikationswege 1, 2 sind
ungeachtet dessen als bidirektional anzunehmen. Die analoge Darstellung
der Rückrichtung
dieser Kommunikationswege 1, 2 unterbleibt aus
Platzgründen.
-
Die Zugriffskontrolleinheit AS ordnet
jedem der kommunizierenden Applikation AP1,AP2 ein für die Applikation
geeignetes Protokollmodul PIP,POE in der Protokoll-Selektiereinheit
PS zu. In den Protokollmodulen POE,PIP,PTP werden Datenpakete der kommunizierenden
Applikationen AP1,AP2 in die entsprechenden Kommunikationsprotokolle
umgesetzt und jeweils an die Anschlusseinheit LAN übergeben.
Wahlweise erfolgt diese Übergabe
auch an anders geartete Anschlusseinheiten, beispiels weise an eine
serielle Anschlusseinheit USB, welche die Datenpakete in einen USB-Kommunikationsstandard (Universal
Serial Bus) umsetzt.
-
Die Zugriffskontrolleinheit AS bzw.
die Protokollselektiereinheit PS sind der Übersicht halber als getrennte
Funktionseinheiten dargestellt. In realen technischen Implementierungen
sind diese Funktionseinheiten als eine zusammenhängende Einheit realisierbar.
-
Datenpakete der ersten Applikation
AP1 werden im Ausführungsbeispiel über das
IP-Protokollmodul PIP gemäß des Internet-Protokolls kodiert, entsprechend
werden Datenpakete der zweiten Applikation AP2 über das PPPoE-Protokollmodul
POE gemäß des PPPoE-Kommunikationsprotokolls
kodiert.
-
Eine geeignete Zuordnung von Kommunikationsprotokollen
zur jeweiligen kommunizierenden Applikation A1,A2 wird beispielsweise
anhand einer von der Zugriffskontrolleinheit AS verwalteten – nicht dargestellten – Zuordnungstabelle
bestimmt, in der das für
die jeweilige Applikation A1,A2 geeignete Kommunikationsprotokoll
vermerkt ist. Diese Zuordnungstabelle ist durch den Bediener des
Netzelements PC oder durch administrative Maßnahmen konfigurierbar und
alternativ auf einer – nicht
dargestellten – zentralen
Einheit wie beispielsweise einem Server lokalisiert. Neben einer
Organisation der Zuordnungstabelle in Form einer Tabelle sind auch technisch
ausgereiftere Ausführungsformen
wie beispielsweise eine Datenbankverwaltung durchführbar.
-
Die Anschlusseinheit LAN verbindet
das Netzelement PC mit dem – nicht
dargestellten – paketorientiertem
Netzwerk, über
welche Datenpakete der ersten und zweiten Applikation AP1,AP2 über die
jeweiligen Kommunikationswege 1, 2 an die ebenfalls mit
dem paketorientierten Netzwerk verbundene Netzknoteneinrichtung
ROU gelangen.
-
Die Netzknoteneinrichtung ROU ist
als Multiprotokoll-Netzknoteneinrichtung ROU ausgeführt. Zu diesem
Zweck enthält
sie eine Multiprotokoll-Proxyeinheit MPP, welche ein erstes Proxy
PR1 und eine Wegeführungseinheit
IPR enthält.
Die in der Zeichnung dargestellten Punkte versinnbildlichen, dass neben
dem ersten Proxy PR1 bedarfsweise weitere – nicht dargestellte – Proxies
Bestandteil der Multiprotokoll-Proxyeinheit MPP sein können.
-
Die Multiprotokoll-Proxyeinheit MPP
ist über eine
der Anschlusseinheit LAN des Netzelements PC weitgehend analoge
Anschlusseinheit LAN mit dem – nicht
dargestellten – paketorientierten
Netzwerk verbunden. Sowohl die Kommunikation der ersten Applikation
AP1 über
den Kommunikationsweg 1 als auch die Kommunikation der
zweiten Applikation AP2 über den
Kommunikationsweg 2 werden über die Anschlusseinheit LAN
der Netzknoteneinrichtung ROU an die Multiprotokoll-Proxyeinheit
MPP übergeben.
-
In der Multiprotokoll-Proxyeinheit
MPP wird das Kommunikationsprotokoll der an der Netzknoteneinrichtung
ROU über
die Anschlusseinheit LAN eintreffenden Datenpakete von einer – nicht
dargestellten – Funktionseinheit
der Multiprotokoll-Proxyeinheit MPP
ausgewertet und je nach detektiertem Kommunikationsprotokoll an
das erste Proxy PR1 oder an die Wegeführungseinheit IPR übergeben.
in der Multiprotokoll-Proxyeinheit MPP erfolgt also sinnbildlich eine
Auftrennung des ersten und des zweiten Kommunikationsweges 1, 2 in
Verbindung mit einer jeweiligen Zuordnung zum ersten Proxy PR1 bzw.
zur Wegeführungseinheit
IPR.
-
Die Wegeführungseinheit IPR führt eine
Bearbeitung von nach dem Internet-Protokoll kodierten Datenpakete
der ersten Applikation AP1 durch. Dabei werden am Eingang der Wegeführungseinheit IPR
empfangene Datenpakete unter Anwendung einer Adressumsetzung und
Einkapselung der in den Datenpaketen enthaltenen IP-Datagramme in
einen durch ein anderes Kommunika tionsprotokoll – beispielsweise PPPoE oder
PPP – vorgegebenen
Rahmen eingekapselt und an den Ausgang der Wegeführungseinheit IPR weitergegeben.
Weiterhin führt
die Wegeführungseinheit
klassische Routingfunktionen, d.h. eine Leitwegebestimmung der empfangenen
Datenpakete aus.
-
Die am Eingang des ersten Proxies
PR1 eintreffenden Datenpakete werden transparent ohne Adressumsetzung
an den Ausgang des ersten Proxies PRl weitergeleitet. Das erste
Proxy PR1 verwaltet zudem eine eventuell erforderliche Terminierung der
Kommunikationsverbindung bzw. eine Einleitung einer transparenten
Kommunikationsverbindung ("Session").
-
Die Datenpakete beider Kommunikationswege 1, 2 werden über die
Ausgänge
des ersten Proxies PR1 bzw. der Wegeführungseinheit IPR an eine Modulier-/Demoduliereinheit
ADSL übergeben,
welche eine Modulierung bzw. Demodulierung der Datenpakete in den
ADSL-Standard (Asymmetrical Digital Subscriber Line) durchführt. Die
Modulier-/Demoduliereinheit ADS übergibt
den Datenstrom anschließend
an den Ausgang der Netzknoteneinrichtung ROU, welche mit einer externen
Einrichtung, beispielsweise einem Internet Service Provider ISP
verbunden ist. Alternativ ist je nach der Schnittstelle der externen
Einrichtung ISP eine Konvertierung in den ISDN-Standard (Integrated
Services Digital Network) durch eine entsprechende – nicht
dargestellte – Modulier-/Demoduliereinheit
erforderlich. Weiterhin ist die Modulier-/Demoduliereinheit ADS
in einer a1-ternativen
Ausführungsform
als eigenständige
Einheit außerhalb
der Netzknoteneinrichtung ROU angeordnet.
-
Die über die Kommunikationswege 1, 2 erfolgende
Kommunikation der ersten bzw. zweiten Applikation AP1,AP2 mit dem
Internet Service Provider ISP ist in beide Richtungen eindeutig,
so dass eine Zuordnung der ersten bzw. zweiten Applikation AP1,AP2
inklusive Verbindungsparametern – wie beispielsweise einer
erforderlichen Kennung oder einer Passwortautorisierung – eindeutig
ist.