JP2007511971A - Ｉｐアドレス結合に基づいてマルチメディアトラフィックをフィルタリングする方法及びシステム - Google Patents

Abstract

【課題】適切な機密保護レベルを確保するために、ダイナミックにピンホールが生成されるシナリオにおいて、ファイアウォール（ＴＷ）を通るＩＰ通信をフィルタする方法及び接続関係にあるノード（ＣＮ）を提供する。
【解決手段】トランスレータゲートウェイ（ＴｒＧＷ）は、格納されているＩＰマッピングテーブル、及びＣＰＳ（または、ＳＩＰプロキシ）とＴｒＧＷとの間のインタフェースに従って、ＩＰヘッダー内のＩＰアドレスをスイッチさせる。このインタフェースは、セッション開始時に、ＣＰＳがＴｒＧＷにＩＰアドレス間の結合データを供給するように要求することを可能にし、ＴｒＧＷが結合データをＣＰＳに供給することを可能にし、そしてセッション解放時に、ＣＰＳが結合を解放することを可能にする。ファイアウォールは、ＴｒＧＷのアドレスのプールに属するＩＰアドレスを有する入パケットを受入れる。
【選択図】図２

Description

本発明はダイナミックな流れのフィルタリングに関し、より特定的には、フィルタリングノード、フィルタリングに関連して使用されるアンカーノード、このようなアンカーノードを構成する方法、及びデータを伝送するための対応方法に関する。

近年、通信ネットワークは大規模に拡張され、多くのユーザによって日常的に使用されている。これらの通信ネットワークの中で、いわゆるパケット交換通信ネットワークが益々注目されている。パケット交換ネットワークは、パケットのユニットでデータを送受信する。パケットは、例えばパケットのアドレス情報（出所／宛先）のような制御情報を担持するヘッダーと、音声等のような実際のデータを担持するペイロード区分とからなっている。

このようなパケット交換通信のために、さまざまなプロトコルが存在している。しかしながら、本発明の目的から、ＩＰｖ４及び／またはＩＰｖ６のようなプロトコルを例として説明することにする（これらは、公知のインターネットプロトコルＩＰのバージョンである）。しかしながら、本発明に関連して他のパケット交換プロトコルも使用することが可能である。また、出所／宛先がアドレスによって識別されるならば、非パケット交換プロトコルも本発明に関連して使用することができる。

通常、通信ネットワークは、複数のオペレータが互いに協調する通信ネットワークシステムの一部を形成している。また、個々のネットワークは、ネットワークオペレータによって操作される複数のいわゆるネットワークのドメインからなることができるが、ドメインは、例えばそれぞれのサードパーティ（ネットワークオペレータとは異なる）によって制御されるか、異なるプロトコルで操作されるか、または異なるアドレス空間定義を有する等である。従って、本発明の目的から、通信ネットワークに関して異なるネットワークまたは異なるドメインを区別することはしないが、通信ネットワークが上述したネットワーク構成の全ての考え得る代替をカバーすることを意図している。むしろ、通信ネットワークを、通信ネットワークシステムと考えることができる。

これらの通信ネットワークまたはネットワークシステムに関連して、機密保護の問題が益々重要になってきている。

通常、通信は２つの端末の間に確立される／進められる。通信発信端末は第１の端末またはユーザ機器ＵＥと呼ばれ、通信宛先端末は接続関係にあるノードＣＮまたは第２の端末と呼ばれる。勿論、双方向通信においては、発信端末に応答する場合には、接続関係にあるノードＣＮもユーザ機器ＵＥとして動作する。技術的には、端末間に差が存在する必要はないが、それでも端末は技術的観点から異なることができる。しかしながら、端末が中間通信ネットワークによって互いに通信するようになっている限り、如何なる差も問題ではない。

通信が２つの端末の間で行われるか、またはそれらの間に確立されている場合には、通信は端末の出所及び宛先アドレスによって識別される。また、通信はリアルタイムトラフィック及び非リアルタイムトラフィックのような端末間で交換される内容または型の異なるトラフィックを含むことができるので、そのトラフィックは関連するポートに関連付けられる。従って、ポートまたはポート番号は、その通信において使用されるアドレス情報のリファインメントを表す。

しかしながら、使用されないアドレス、またはポート番号でさえもが、実際にそのような通信を望まないユーザの端末への詐欺的な、または不正な通信を確立する攻撃者になる可能性を秘めている。

従って、通信ネットワークにおける機密保護問題が益々重要になっている。いわゆるファイアウォールＦＷは、通信ネットワークにおける機密保護を保証するために重要な役割を果たしている。即ち、ファイアウォールは、無許可のトラフィックをフィルタし、このようなトラフィックを受信することを許可されていない端末にこのようなトラフィックが到達することを防ぐ通信ネットワーク内のフィルタリングノードと考えることができる。

本発明は、このような機密保護問題と、フィルタリングノードまたはファイアウォールとに関する。より特定的には、本発明は、ファイアウォール内にピンホールをダイナミックに構成することと、通信におけるリアルタイムサービスの支援とに関する。本発明において使用する“ピンホール”という表現は、特定のトラフィックを特定の端末に到達させる一時的に有効な許可のことであり、この許可はファイアウォールによって保証または拒絶される。即ち、開いたピンホールは保証された許可を表し、一方閉じたピンホールは拒絶された許可を表す。

通信ネットワークの多くのフレームワークにおいては、ファイアウォール内のピンホールをダイナミックに開いたり、閉じたりする必要がある。例えば、ＳＩＰ（セッション開始プロトコル）によって確立される通信は、メディアストリーム（即ち、リアルタイムサービスの場合にＵＤＰ／ＲＴＰ（ユーザデータグラムプロトコル、リアルタイムプロトコル）、インスタントメッセージングの場合にＴＣＰ（伝送制御プロトコル））をファイアウォールを通過させるために、及び通信ノード間（発信端末と、接続関係にあるノード端末との間）でデータパケットを交換するために、ピンホールをダイナミックに生成する必要がある。考え得る攻撃を回避するために、通信の終了時にこれらのピンホールは除去すべき（即ち、閉じるべき）である。

次に、図１を参照してアーキテクチャを、より詳述すれば、ＩＰｖ６ドメインとＩＰｖ４ドメインとの網間接続のための３ＧＰＰ（第３世代パートナーシッププロジェクト）ネットワークに導入され、採用されているネットワークエンティティ並びにインタフェースの概要を説明する。これは、以下に説明する本発明が新規のエンティティを導入することなく、既存通信ネットワークアーキテクチャを、従って、採用されたフレームワークを革新的な方法で再使用することを示している。

図１に示すアーキテクチャは、ＩＰｖ６ドメインとＩＰｖ４ドメインとの網間接続のために３ＧＰＰに近年採用されたものである。しかしながら、この説明は単なる例示に過ぎず、本発明はＩＰｖ４／ＩＰｖ６ドメインに限定されるものではなく、単一のドメイン内のネットワークにおける状況をもカバーすることを意図している。また、導入されているエンティティ及びインタフェースの機能についても概要を説明する。

以下の説明は、ファイアウォール横断問題を解消するために、本発明がどのように既存のインフラストラクチャを革新的な手法で再使用するかを示している。

図１から以下のことが導出される。

現在の網間接続アーキテクチャは、トランスレータゲートウェイに頼っている。トランスレータゲートウェイＴｒＧＷは、必要に応じてＩＰヘッダを変換する。より一般的に言えば、このゲートウェイは、伝送すべきパケット内に含まれるアドレス情報を変換または翻訳する。

現在の網間接続アーキテクチャは、ＩＭＳ（ＩＰマルチメディアサブシステム）アプリケーション層ゲートウェイ（ＡＬＧ）にも頼っている。ＩＭＳ ＡＬＧの機能は、ＩＰｖ６ ＳＩＰアプリケーションとＩＰｖ４ ＳＩＰアプリケーションとの間に通信を確立するために、ＳＩＰ／ＳＤＰプロトコル（セッション開始プロトコル／セッション記述プロトコル）スタックのために必要アプリケーション機能を提供することである。

ＩＭＳ ＡＬＧは、ＣＳＣＦノード（呼出し状態制御機能、Ｓ−ＣＳＣＦ（サービングＣＳＣＦ）、及びＩ−ＣＳＣＦ（問合せＣＳＣＦ）が定義されている）から、またはＩＰｖ４ ＳＩＰネットワークドメインから、入ＳＩＰメッセージを受信する（本明細書においては、（プロキシ）Ｐ−ＣＳＣＦ、Ｓ−ＣＳＣＦ、またはＩ−ＣＳＣＦのようなＣＳＣＦをＳＩＰサーバと称することもある）。このドメインは外部ドメインであることができるが、通信ネットワークの内部ドメインであることもできる。ＩＭＳ ＡＬＧは、適切なＳＩＰ／ＳＤＰパラメータを変化させ、ＩＰｖ６アドレスをＩＰｖ４アドレスに、及びその逆に変換する。本発明の場合、プロトコルＩＰｖ４／ＩＰｖ６は単なる例であって、他のプロトコル移行も考え得ることを理解されたい。

ＩＭＳ ＡＬＧは、ＳＩＰメッセージボディ、及びＩＰアドレスを含むヘッダーを変更する。ＩＭＳ ＡＬＧは、セッション開始時には、異なるＩＰアドレス（ＩＰｖ６からＩＰｖ４へ、及びその逆）間のデータの結合を与えるために、ＮＡ（Ｐ）Ｔ−ＰＴ（ネットワークアドレス（及びポート）変換−プロトコル変換）を要求し、セッション解放時には結合を解放する。従って、ＮＡ（Ｐ）Ｔ−ＰＴは、一種のステートフルトランスレータであり、ＩＰｖ６／ＩＰｖ４マッピングテーブルを維持する。

ＴｒＧＷとＩＭＳ ＡＬＧとの間のＩxインタフェースも導入され、採用されている。このインタフェースは、以下のことを可能にする。

ＩＭＳ ＡＬＧが、セッション開始時に、異なるＩＰアドレス（ＩＰｖ６からＩＰｖ４へ、及びその逆）間の結合データを供給するように要求すること。

ＴｒＧＷが、結合データをＩＭＳ ＡＬＧへ供給すること。及び

ＩＭＳ ＡＬＧが、セッション解放時に、結合を解放すること。

更に、図１は、ＩＰｖ６に基づいて動作するユーザ機器ＵＥ（ＩＰｖ４に基づいて動作している接続関係にあるノードＣＮ（図示してない）と通信する）をも示している。またプロキシＣＳＣＦ（Ｐ−ＣＳＣＦ）も示されているが、これは通信またはセッション開始時にユーザ機器ＵＥから“第１ホップ”シグナリング情報を受信する。Ｉ−ＣＳＣＦ及びＳ−ＣＳＣＦは、通信管理ノードの例を表すいわゆる呼出し処理サーバＣＰＳと考えることができる。更に、ドメイン名サーバＤＮＳ及び家庭加入者サーバＨＳＳが、このアーキテクチャの一部を形成している。上述したエンティティは、主として、シグナリングトラフィックを表す破線で示されているシグナリング及び通信管理内に含まれ、一方ペイロードデータは、図１に“運び手”として実線で示されているように、ユーザ機器ＵＥからＩＰ−ＣＡＮ（ＩＰ接続性アクセスネットワーク）を介し、トランスレータゲートウェイＴｒＧＷを通して通信パートナー、即ち接続関係にあるノード（図示してない）へ伝送される。

当業者ならば、一般的なアーキテクチャ及びエンティティ／ノード、並びにそれらの個々の機能に関して精通しているものと考えられるので、さらなる詳細説明は省略する。

ファイアウォールは、フィルタリングルールに基づいて（典型的には、出所及び宛先ＩＰアドレス、プロトコル型、及び／またはポート番号を考慮して）ＩＰパケットをフィルタする。ファイアウォールは、攻撃を回避するために、フィルタリングルールを用いて構成されている。これらのルールは、スタチックルール（例えば、ＴＣＰフラッディングまたは特定のプロトコル）、及びダイナミックルール（ピンホール）を含む。幾つかのアプリケーションは、ファイアウォール内にピンホールをダイナミックに構成すること必要とする。例えばＳＩＰ通信は、メディアストリームはファイアウォールを通過させるが、攻撃（ＵＤＰフラッディング等）は阻止するために、ファイアウォール内にピンホールをダイナミックに生成／除去（即ち、開／閉）する必要がある。より一般的に言えば、ＵＤＰ（ユーザデータグラムプロトコル）をベースとするアプリケーションは、通信開始／停止の時にピンホールをダイナミックに開／閉する必要がある。このＳＩＰに関しての記述は単なる例であり、例えばＷＡＰ（無線アプリケーションプロトコル）等のような他のプロトコルも本発明に使用できることに注目されたい。

従来から、ファイアウォール内のピンホールをダイナミックに制御するための幾つかの解決法が提唱されてきたが、以下にこれらの概要を説明する。

１．フェイクＵＤＰパケットの使用：

このアプローチによれば、ユーザ機器ＵＥはダミーＵＤＰパケットを送り、ファイアウォールＦＷはこのパケットに基づいてピンホールを開く。しかしながら、ファイアウォールＦＷにはピンホールを閉じるべき時点を決定する手法は存在していない（ＵＤＰ通信はＴＣＰが行うようなセッション確立／解除を有していないので）。代替として、ユーザ機器ＵＥは、ファイアウォールＦＷ内にピンホールを生成するためにダミーＵＤＰパケットを送ることができ、これらのダミーＵＤＰパケットを定期的に伝送することによってこれらのパケットの送りを維持する。しかしながら、この方法は２つの主要な問題を惹起する。即ち、（１）ユーザ機器ＵＥはファイアウォールＦＷ内に生成される状態タイマについて何等の知識をも有していないこと、及び（２）このため、多数のバイトが無線リンクを通して送られることになり、資源が浪費されることである。

２．例えばＳＩＰを知っているファイアウォールＦＷの使用：

ＳＩＰは、ＳＩＰシグナリングをパーズし、要求に応じてピンホールを開／閉するＦＷを知る。しかしながら、これは、ＳＩＰシグナリングがファイアウォールに可視であることを必要とするが、ＳＩＰ圧縮を適用することが可能である（例えば、３ＧＰＰ及び３ＧＰＰ２ ＩＭＳにおいて）にも拘わらず、ファイアウォールＦＷはそれを圧縮解除することができない。更に、この解決法は、ファイアウォールＦＷに過大な制御を賦課し、ネットワークオペレータは少なくとも部分的に制御を失うようになる（一般的には、それ自体のプロダクト及び／またはネットワークの制御を維持することが好まれる）。最後に、ＳＩＰを保護するためにＩＰsec（インターネットプロトコル（ＩＰ）機密保護）またはＴＬＳ（トランスポート層機密保護）暗号化が適用される場合には、この解決法を適用することはできない。

３．ファイアウォールＦＷとアプリケーションサーバ（例えば、ＩＭＳ内のＳＩＰサーバ）との間のインタフェースの使用：

これらのインタフェースは提唱されてはいるが（例えば、ＩＥＴＦ内のＭＩＤＣＯＭ（ＭＩＤＣＯＭ：ＩＥＴＦ（インターネットエンジニアリングタスクフォース）によって定義されているミドルボックス通信））、これらは未だ初期仕様の段階にあり、何時の日か標準化作業を必要とし、これらをプロダクトにおいて利用できるようになるのは遥か先であり、一方、ファイアウォールＦＷの前に展開する必要があるシステム（例えば、ＩＭＳ）はこれらのインタフェースを支援するであろう。更に、この解決法によれば、製造者のプロダクト（例えば、ＳＩＰサーバ）内の制御は可能になるが、展開が他の会社のプロダクトから完全に独立することはない。

４．ＦＷの構成を遂行するための、端末ＵＥからＦＷへのシグナリングプロトコル：

ＴＩＳＴ（トポロジインセンシティブサービストランスバーサル）プロトコル、ＣＡＳＰプロトコル（クロスアプリケーションシグナリングプロトコル）等は、ネットワーク内のファイアウォールに必要なピンホールを開閉する端末からのシグナリングプロトコルを示唆している。しかしながら、これらの方法はそれぞれが未だに素案に過ぎず、これらの解決法が標準化されるまでには極めて長い時間を必要とするであろう。

従って、本発明の目的は、ダイナミックピンホールに伴う諸問題に対する代替解決法を提供することであり、本解決法は短期展開が可能であり、上述した諸提唱に伴う欠陥を有していない。

本発明によれば、この目的は、例えば以下によって達成される。

通信ネットワーク内にアンカーノードを構成する方法であって、本方法は、第１の端末のための通信セッションの開始を上記通信ネットワークの通信管理ノードを介して要求するステップと、上記通信管理ノードによって要求された時に、アンカーノードにおいて、第１の端末のための結合を第１に確立するステップと、開始要求を上記確立された結合に基づいて上記通信管理ノードから第２の端末へ転送するステップと、上記第２の端末による上記要求に対して上記通信管理ノードへ肯定応答するステップと、上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、第２の端末のための結合を第２に確立するステップとを含む。

上記方法は、好ましいくは以下のさらなる展開を含む。

−上記開始要求ステップは、少なくとも通信セッション内に含まれる端末のアドレスを上記通信管理ノードへ指示するステップを含む。

−上記指示ステップは、上記第１の端末の上記通信セッションのためのポート番号を通報するステップを更に含む。

−上記結合確立ステップは、上記それぞれの端末にエイリアスを関連付けるステップを含む。

−上記結合確立ステップは、それぞれの端末の関連付けられたエイリアスを上記アンカーノードに格納するステップを更に含む。

−上記肯定応答ステップは更に、次のステップを含む。

−上記第２の端末の上記通信セッションのためのポート番号を通報するステップ。

−本方法は更に、セッションの開始を上記第２の端末のための結合を使用して上記第１の端末へ通知するステップを含む。

−本方法は更に、上記第１の端末のための通信セッションの終了を通信ネットワークの通信管理ノードを介して要求するステップと、上記終了要求を上記確立された結合に基づいて上記通信管理ノードから第２の端末へ転送するステップと、上記第２の端末による上記要求に対して上記通信管理ノードへ肯定応答するステップと、上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、第１の端末のための結合を第１に解放するステップと、上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、第２の端末のための結合を第２に解放するステップとを含む。

−上記解放ステップは、それぞれの端末の関連付けられたエイリアスを、上記アンカーノードにおいて削除するステップを含む。

また本発明によれば、この目的は、例えば以下によって達成される。

通信ネットワーク内の第１の端末と第２の端末との間の確立された通信セッションでデータを通信する方法であって、本方法は、伝達すべきデータを第１の端末からアンカーノード（両端末の各結合のテーブルを格納するように構成されている）へ伝送するステップと、伝達すべきデータを、両端末のための構成された結合を使用してアンカーノードから上記ネットワークのフィルタリングノードへ中継するステップと、上記伝達すべきデータを、上記フィルタリングノードにおいて、上記両端末のための結合に基づいてフィルタするステップとを含む。

上記方法は、好ましいくは以下のさらなる展開を含む。

−上記フィルタリングステップは、もし構成された結合間にそのような結合が存在すれば、該結合に基づいて、上記伝達すべきデータを上記フィルタリングノードを通過させて第２の端末へ向かわせるステップを更に含む。

−上記フィルタリングステップは更に、もし構成された結合間にそのような結合が存在しなければ、該結合に基づいて、上記データが上記フィルタリングノードを通過して第２の端末へ伝達されるのを阻止するステップを含む。

−上記中継ステップは、上記構成された結合に基づいてアドレスを変換するステップを含む。

また本発明によれば、この目的は、例えば以下によって達成される。

通信ネットワーク内のアンカーノードであって、上記アンカーノードは、通信セッションを通信管理ノードから要求している第１端末のための結合を確立する結合要求を第１に受信する受信機と、上記受信した結合要求に応答して上記第１の端末のための結合を第１に確立し、上記結合を上記通信管理ノードへ戻すプロセッサとを含み、上記受信機は、第２の端末を通信セッション内に含ませるための結合を確立するための結合要求を通信管理ノードから受信し、上記プロセッサは、上記通信管理ノードから要求を受信した時に上記第２の端末のための結合を第２に確立する。

上記アンカーノードは、好ましくは以下のさらなる展開を含む。

−上記アンカーノード内のプロセッサは、上記結合を確立する時に各端末にエイリアスを関連付ける割当てデバイスを含む。

−上記アンカーノードは、各端末に関連付けられたエイリアスを格納するメモリを含む。

また本発明によれば、この目的は、例えば以下によって達成される。

通信ネットワーク内のアンカーノードであって、上記アンカーノードは、第１の端末から第２端末へ伝達すべきデータを受信する受信機と、各端末のための構成された結合のテーブルを格納するメモリと、上記伝達すべきデータを、両端末のための構成された結合を使用してネットワークのフィルタリングノードへ中継するプロセッサとを含む。

上記アンカーノードは、好ましくは以下のさらなる展開を含む。

−上記アンカーノード内のプロセッサは、上記構成された結合に基づいてアドレス変換を遂行するアドレストランスレータを含む。

また本発明によれば、この目的は、例えば以下によって達成される。

通信ネットワーク内のフィルタリングノードであって、上記フィルタリングノードは、第１の端末から第２の端末へ伝達すべきデータを両端末のための結合を維持しているアンカーノードから受信する受信機と、上記両端末のための結合を分析するプロセッサと、上記分析の結果に依存して上記データをフィルタするフィルタとを含む。

上記アンカーノードは、好ましくは以下のさらなる展開を含む。

−上記フィルタリングノードは、もし構成された結合間にそのような結合が存在すれば、該結合に基づいて、上記伝達すべきデータを上記第２の端末へ向かわせる。

−上記フィルタは、もしアンカーノードにおいて構成された結合間にそのような結合が存在しなければ、該結合に基づいて、上記データが第２の端末へ伝達されるのを阻止する。

以上の説明から明白なように、本発明は、適切な機密保護レベル（例えば、ＳＩＰ通信におけるＵＤＰストリーム）を確保するために、ダイナミックにピンホールを生成することが典型的に必要なシナリオにおいて、ファイアウォールを通るＩＰ通信を安全にフィルタする方法を提供する。本発明は、ファイアウォールがパケットのフィルタリングを遂行する前に、全ての通信を通過させるようになっている通信のための安全且つ公認のアンカーを生成するアイデアに基づく。

本発明の実現により、少なくとも以下の長所が得られる。

１．本発明は、少なくとも特定のＦＷ構成インタフェース（ある端末からファイアウォールへの）を必要とせず、またＦＷ内にＡＬＧを必要としない。

２．本発明は、ＳＩＰ確立された通信を安全に支援する（ユーザは、公知の“ＴＣＰ ＳＹＮフラッド”、“ティアドロップ”等のような共通ＩＰ脅威に対して保護される）。

３．本発明は、標準化しなければならないことはなく、従ってその展開は標準化される解決法よりも高速である。

４．本発明は、この解決法を採用するに当たって、現ＣＰＳ（Ｓ−ＣＳＣＦ／Ｉ−ＣＳＣＦ）インプリメンテーションに、またはＳＰＩプロキシサーバインプリメンテーションに実質的な変更を必要としない。

５．本発明は、現インフラストラクチャ（端末、ＩＭＳ（ＩＰマルチメディアサブシステム）等）に何らの変更／アップグレードをも必要としない。

６．本発明は、如何なる外部パーティにも、または標準化フォーラムにも依存しないさらなる長所を有しており、従って、単一の製造者によって完全に展開することができる。

本発明の結果として、全てのデータトラフィックが、例えばトランスレータゲートウェイＴｒＧＷのようなアンカーノードを通過するようになるが、何れにしても全てのデータはファイアウォールを通過しなければならないので、それを問題にすべきではない。（それどころか、ＴｒＧＷはファイアウォールに物理的に密に接近して、またはファイアウォール内に、またはその逆に位置するように構成することができる。）

以上に概要を説明したように、本発明は、適切な機密保護レベル（例えば、ＳＩＰ通信におけるＵＤＰストリーム）を確保するために、ダイナミックにピンホールを生成することが必要なシナリオにおいて、ファイアウォールを通るＩＰをベースとする通信のような通信をフィルタする方法を提供する。本発明は、ファイアウォールがパケットフィルタリングを遂行する前に、全ての通信を通過させるようになっている通信のための安全且つ公認のアンカーを生成するアイデアに基づく。本発明は、新しいエンティティを導入することなく、既存のフレームワークを再使用する。本発明は、格納されているＩＰマッピングテーブル、及びＣＰＳ（または、ＳＩＰプロキシ）とＴｒＧＷとの間のインタフェースに従ってＩＰヘッダー内のＩＰアドレスをスイッチすることを機能とするＴｒＧＷに基づいている。

このインタフェースは、セッション開始時に、ＣＰＳがＴｒＧＷにＩＰアドレス間の結合データを供給するように要求すること、ＴｒＧＷが結合データをＣＰＳに供給すること、及びセッション解放時に、ＣＰＳが結合を解放することを可能にする。ＦＷはステートフルなものであるべきであり、ＩＰアドレスはＴｒＧＷのアドレスのプールに属するような入パケットのみを受入れるべきである。従って、既存の呼出しまたはセッションと一致しない如何なる入パケットもＴｒＧＷにおいて排除され（如何なるフラッディングの試みも阻止され）、有効パケットは、そのパケットが奇形メッセージまたは他の攻撃者（例えば、ＴＣＰ ＳＹＮフラッド等）ではないことを検査するＦＷを通過させられる。

上述した、及びさらなる長所は、以下の添付図面に基づく詳細な説明からより一層明白になるであろう。

本発明を説明する目的から、リアルタイムストリームを伴うＳＩＰ呼出しを詳述する。しかしながら、本明細書に記載されている方法は、ＳＩＰが使用されるシナリオ（例えば３ＧＰＰ ＩＭＳ）に限定されるものではなく、例えばＷＡＰシナリオにも適用することができる。一般的に言えば、本方法は、ダイナミックにピンホールを生成する必要はあるが、ファイアウォール構成インタフェースが存在しない他の作業環境にも適用することができる。

本発明がトランスレータゲートウェイ（ＴｒＧＷ）のようなアンカーノードを使用することが理解されよう。アンカーノードの機能は、格納されたＩＰマッピングテーブルに従ってＩＰヘッダ内のＩＰアドレスのようなアドレスをスイッチすることであり、その機能はネットワークアドレストランスレータＮＡＴのそれに類似している。また、本発明がＣＰＳ（または、ＳＩＰプロキシ）とＴｒＧＷとの間にインタフェースを使用することが理解されよう。このインタフェースは、ＣＰＳ（またはＳＩＰプロキシ）がセッション開始時に、ＩＰアドレス間の結合データを供給することをＴｒＧＷに要求すること（詳細に関しては後述する）を可能にし、ＴｒＧＷが結合データをＣＰＳ（またはＳＩＰプロキシ）へ供給することを可能にし、そしてセッション解放時に、ＣＰＳ（またはＳＩＰプロキシ）が結合を解放することを可能にする。

先ず、図２を参照して、通信ネットワーク内にアンカーノードを構成する方法を説明する。

図２には、アドレスＩＰ１によって識別されている通信発信端末としての端末と、通信管理ノードの例としての呼出し処理サーバと、アンカーノードの例としてのトランスレータゲートウェイＴｒＧＷと、アンカーノードが構成された後に通信に使用するためのファイアウォールＦＷ（詳細に関しては後述する）と、通信宛先端末、即ちアドレスＩＰ３によって識別されている接続関係にあるノードＣＮとが示されている。

端末間の通信においては、端末間に論理的連結（アソシエーション）が存在し、これを呼出しと称することができる。このような呼出し内では、“内容”またはトラフィック型が異なる、即ち異なるサービス品質（ＱｏＳ）のデータを、リアルタイムトラフィックで、または非リアルタイムトラフィック等で通信することができる。例えば、それぞれの型のデータ／トラフィックは、それ自体が呼出しの一部を形成しているいわゆるセッションで伝達される。セッションは更に、端末のアドレスだけではなく、それに加えてそれぞれの端末のポート番号（そのポート番号を介してトラフィックが案内／処理される）によって識別される。トランスレータゲートウェイは、変換テーブルまたはマッピングテーブルを維持／格納している。マッピングテーブルにおいては、通信開始端末（InitＩＰ）は、対応するＩＰ ＣorrＩＰ（その端末のエイリアスを表す）に関連付けられている。オプションとして（図示してない）、マッピングテーブルは、端末アドレスだけではなく、付加的にそれぞれの端末のそれぞれのポートも含まない。

次に、アンカーノードＴｒＧＷを構成する方法を説明する。本方法は、以下の諸ステップからなる。

第１のステップ１において、ＵＥは、ＩＰアドレスＩＰ１並びにＳＤＰ（セッション記述プロトコル）フィールド内にメディアストリームを期待しているポート番号を指定するＳＩＰ招待をそのＣＰＳへ送る。この説明の目的から、呼出しＩＰ１及びＰort＃１を、ＵＥがメディアストリームを期待しているＩＰアドレス及びポート番号であるものとする。換言すれば、第１の端末ＵＥのための通信セッションを開始するための要求が、上記通信ネットワークの通信管理ノードＣＰＳを介して行われる。また、上記開始要求ステップは、少なくとも端末ＵＥのアドレス、通信セッション内に含まれるＣＮを上記通信管理ノードＣＰＳに指示するステップを含み、上記指示ステップは更に、上記第１の端末ＵＥの上記通信セッションのためのポート番号Ｐort＃１を通報するステップを含む。

第２のステップ２において、ＣＰＳは、ある要求をＴｒＧＷへ送ってＵＥのＩＰアドレス、即ちＩＰ １を供給する。これは、要求した端末のアドレスにＩＰアドレスを関連付け、それによって結合を確立する要求を要求する。次いで、ＴｒＧＷのようなアンカーノードは、上記通信管理ノードＣＰＳから要求された時に、アンカーノード（ＴｒＧＷ）において、第１の端末ＵＥのための第１の結合の確立を遂行する。

これは、ＴｒＧＷが、別のＩＰアドレス（エイリアス）ＩＰ ２をＩＰ １に関連付け、この関連付けを格納するためにそのマッピングテーブル内にエントリを作成することを意味する。オプションとして、ＣＰＳはユーザ機器ＵＥのポート番号Ｐort＃１を供給することができ、またオプションとして、ＴｒＧＷは別のポート番号Ｐort＃２を割当てることができる。この情報もマッピングテーブル内に格納することができ、詳細を後述するように、入データパケットのより高度な細分性フィルタリングのために使用することができる。アンカーノードＴｒＧＷから供給される結合に基づいて、ＣＰＳはＳＩＰ招待のＳＤＰフィールドを変更する。詳述すれば、ＣＰＳはＩＰ １をＩＰ ２に、及びオプションとしてＰort＃１をＰort＃２に置換する。

次いでＴｒＧＷは、ＣＰＳに返答を送り、ＩＰ １に関連付けられた結合アドレスとしてＩＰ ２を供給する。この関連付け応答を図２のステップ３に示す。

次に、ステップ４において、ＣＰＳがユーザ機器ＵＥに関連付けられている連結済みＩＰアドレスＩＰ２を使用してＳＩＰ招待を接続関係にあるノードへ送ると、上記開始要求が上記通信管理ノードＣＰＳから第２の端末ＣＮへ転送される。

それに応答して（図２には示されていない）被呼側は、例えば“SIP 200 OK”で呼出管理ノードＣＰＳへ返答する。これが、上記通信管理ノードＣＰＳへの上記第２の端末ＣＮによる上記要求に対する肯定応答になる。

宛先のメディアストリーム能力は、シグナリング経路（上述したシグナリングの流れにおいては“SIP 200 OK”メッセージの経路）に沿って戻される。これらは、実際には、いわゆる“SIP 183セッション進捗暫定応答”で、または別の応答でさえも、戻すことができる。

例えばSIP 200 OKを受信すると、ＣＰＳは、アンカーノードＴｒＧＷにおけるＳＤＰフィールドに指定されている被呼側の接続関係にあるノードのＩＰアドレスＩＰ３（及びオプションとして、ポート番号（Ｐort＃３））のための結合を要求する。これは、上記通信管理ノードから要求された時の、上記アンカーノードにおける第２の端末ＣＮのための第２の結合の確立を表している。

ＴｒＧＷは（第２の確立において）、ＣＰＳがそのSIP 200 OKメッセージのＳＤＰフィールド内に指定するアドレスＩＰ ４及びオプションとしてポート番号Ｐort＃４を供給し、それは最終的には端末ＵＥへ戻される。

これらのステップは、被呼側ＣＮが起呼側ＵＥのＩＰアドレスとして単一のＩＰアドレス、即ちＩＰ ２を“見る”ように遂行される。通信中、全てのパケットは、要求されたアドレス変換を遂行するアンカーノードＴｒＧＷを通過させられる。上述した被呼端末のアドレスの結合を確立することがなければ、ＵＥはパケットをＩＰ１からＣＮへ送り、一方ＳＩＰシグナリングはＩＰ２を発信アドレスとして指示することになろう。

次に、呼出し管理ノードＣＰＳは、ＳＩＰメッセージを端末ＵＥへ転送する。端末ＵＥの観点から、被呼側ＣＮはＩＰ ４におけるメディアストリームを、及びオプションとして、例えばＰort＃４を期待する。従って、セッション開始の上記第１の端末ＵＥを通知し、その通知内に上記第２の端末のための結合を使用するステップが存在する。

このＩＰアドレス及びポート番号でメディアストリームを送ると、パケットはＴｒＧＷに到達し、ＴｒＧＷはその流れに関連付けられた結合を識別することになる。

ある結合を確立する上記両ステップは、エイリアスを上記それぞれの端末ＵＥ、ＣＮに関連付けるステップを含む。即ち、端末は、ＩＰ１の代わりのＩＰ２、ＩＰ３の代わりのＩＰ４のように、異なるアドレス（及び、オプションとして、ポート番号）で“知られる”ようになる。

また、結合を確立するステップは更に、それぞれの端末のための関連付けられたエイリアスを、上記アンカーノードにおいて例えばアンカーノードのメモリ内にルックアップテーブルの形状で格納するステップを含む。

（更に、オプションとしての上記肯定応答ステップは更に、上記第２の端末ＣＮの上記通信セッションのためのポート番号Ｐort＃３を通報するステップを含む。）

以上のように、呼出し、または通信セッションの開始が要求された時に、アンカーノードにおいて、マッピングテーブルが構成される。

通信セッションの終了に含まれる本発明によるステップが図８に示されている。因みに、本方法は更に、第１の端末のための通信セッションを終了させることを上記通信ネットワークの通信管理ノードＣＰＳを介して要求するステップＳ８１を含む（終了要求は、接続関係にある“第１の端末”として動作するノードによって同じように発することができる）。この終了要求は、確立された結合に基づいて上記通信管理ノードＣＰＳから第２の端末ＣＮへ転送され（Ｓ８２）、第２の端末ＣＮは、上記要求に対する肯定応答を上記通信管理ノードＣＰＳへ送る（Ｓ８３）。管理ノードＣＰＳは、その要求をアンカーノードＴｒＧＷへ中継する（Ｓ８４）。

次いで、上記通信管理ノードＣＰＳから要求された時に（Ｓ８４）第１の端末ＵＥのための第１の結合の解放がアンカーノードＴｒＧＷにおいて行われ（Ｓ８５）、上記通信管理ノードＣＰＳから要求された時に（Ｓ８４）第２の端末ＣＮのための第２の結合の解放がアンカーノードＴｒＧＷにおいて行われる（Ｓ８６）。これらの解放ステップは、上記アンカーノードにおけるそれぞれの端末のための関連付けられたエイリアスを削除するステップを含む。これは、マッピングテーブル（図２、３、及び４に示す）へのエントリが選択的に消去されることを意味する。

以上に、アンカーノードの構成を説明した。以下に、このようにして構成されたアンカーノードを使用する通信を説明する。

一般的に言えば、本発明によるデータ通信方法は、第１のＵＥ、ＣＮと、通信ネットワーク内の第２のＣＮ、ＵＥとの間に確立された通信セッションにおけるデータに関する。本方法は、第１のＵＥ、ＣＮ端末からアンカーノードＴｒＧＷへ伝達すべきデータを伝送するステップを含み、アンカーノードはこれらの端末のためのそれぞれの結合のテーブルを格納している。次いで、伝達すべきデータが、端末のための構成された結合を使用してアンカーノードから上記ネットワークのファイアウォールＦＷのようなフィルタリングノードへ中継される。これに続いて、上記フィルタリングノードにおいて、上記端末のための結合に基づいて上記伝達すべきデータのフィルタリングが行われる。

詳述すれば、フィルタリングステップは更に、もし構成された結合の間にそのような結合が存在すれば、該結合に基づいて、上記伝達すべきデータを上記フィルタリングノードを通過させて第２の第２のＣＮ、ＵＥへ向かわせるステップを含む。また、上記フィルタリングステップは更に、もし構成された結合の間にそのような結合が存在しなければ、該結合に基づいて、上記伝達すべきデータが上記フィルタリングノードを通過して第２のＣＮ、ＵＥへ向かうのをブロックするステップを含む。

図３は、アンカーノードが上述したようにして構成された後の次のステップとして、ＵＥからＣＮまでと、ＣＮからＵＥまでとの間のトラフィックが以下のようにして、構成された結合に基づく経路を辿ることを表している。

第１の場合（ＵＥからＣＮへのダウンストリーム）：

後述するように（図３には示されていない）、データは、ＵＥからＴｒＧＷへ、次いでＴｒＧＷからＦＷへ、次にＦＷからＣＮへの経路を辿る。

第２の場合（ＣＮからＵＥへのアップストリーム）：

後述するように（図３に示されているように）、データは、ＣＮからＴｒＧＷへ、次いでＴｒＧＷからＦＷへ、次にＦＷからＵＥへの経路を辿る。

以下に、より詳細に説明する。

ユーザ機器ＵＥから発したペイロードデータは、強制的にアンカーノードを通過させられる。ネットワーク内に複数のアンカーノードが存在する場合には、これは１つのアンカーノードを、例えばそれぞれの端末のアドレス及び／または位置に依存して、または他の何等かの基準に依存して（例えば、関連しているトラフィックの型に依存する等）、それぞれの端末に関連付けることによって達成することができる。

アンカーノードＴｒＧＷは、以下に説明するように、入パケットのＩＰヘッダーを、それが出データパケットのヘッダーとは異なるように変更する。

−出所ＩＰアドレスを、ＩＰ １からＩＰ ２に変更する。

−宛先ＩＰアドレスを、ＩＰ ４からＩＰ ３に変更する。

−オプションとして、出所ポート番号を、Ｐort＃１からＰort＃２に変更する。

−オプションとして、宛先ポート番号を、Ｐort＃４からＰort＃３に変更する。

そして、入ＩＰパケットの場合、被呼側、即ちＣＮは、そのアドレスＩＰ ３からユーザ機器ＵＥのエイリアスアドレスＩＰ ２への応答として、ＩＰパケットを送る。

また、これらのＩＰパケットはアンカーノードＴｒＧＷに到達し、ＴｒＧＷは、以下のようにしてパケットを変更する。

−出所ＩＰアドレスを、ＩＰ ３からＩＰ ４に変更する。

−宛先ＩＰアドレスを、ＩＰ ２からＩＰ １に変更する。

−オプションとして、出所ポート番号を、Ｐort＃３からＰort＃４に変更する。

−オプションとして、宛先ポート番号を、Ｐort＃２からＰort＃１に変更する。

何れの場合も、通信に際して、変更されたヘッダーを有するパケットは強制的に、ファイアウォールのようなフィルタリングノードを通過させられる。ネットワーク内に複数のファイアウォールが存在する場合には、これは、例えばアンカーノードのアドレス及び／または位置に依存して、または他の何等かの基準に依存して、ファイアウォールをそれぞれのアンカーノードに関連付けることによって達成することができる。

ファイアウォール自体は、アンカーノードＴｒＧＷのＩＰアドレスプールからの入パケットはファイアウォールを通過させ、他はブロックするように構成されている。従って、フィルタリングノードとしてのファイアウォールは、許可された通信のために存在する結合のアドレスプールを知ることになる。

この知識は、例えば、アンカーノードにおいて結合が確立または削除された時に、新たに確立された、または削除された各結合のアンカーノードからファイアウォールに通報することによって得られる。代替として、パケットを受信する場合、ファイアウォールは、関連アドレスがそのアンカーノードのアドレスプールの一部であるか否かを学習するためにアンカーノードに問合わせることができる。ファイアウォールがそのアンカーノードのアドレスプールの知識を得るためには、他の種々の可能性も考えられる。

このような通信方法は、以下のことを可能にする。

−ファイアウォールに到達した無効データパケットを、ドロップさせること。

−アンカーノードＴｒＧＷに到達した無効データを、ドロップさせること。例えば、現セッションに対応しない入ＩＰパケットは、ファイアウォールに転送されることさえない。

−有効ノードからの入パケットを、ユーザ機器ＵＥへ引渡すこと。

−有効ノードからの入パケットを、ファイアウォールによって、共通ＩＰ脅威（例えば、ＴＣＰ ＳＹＮフラッド、死のピング等）に対して検査すること。

オプションとして、アンカーノードを構成する時にＣＰＳが接続関係にあるノードのポート番号及びＩＰアドレスを供給する場合、入ＩＰパケットをフィルタする時にこの情報も使用することができる。

最初にＴｒＧＷを、次いでファイアウォールを通過することを許されるパケットは、適合ＣＮ（即ち、ＦＷによって保護されているネットワーク内のＵＥを用いてのＳＩＰ呼出しにおけるＣＮ）によって生成され、ＵＥの適合ＩＰアドレスに向けられ、そしてそのＵＥに許容されているプロトコルの型に対応する、またはその逆のパケットだけである。

本発明を実施するために、アンカーノードＴｒＧＷは上述したようにして構成される。またＴｒＧＷとＣＰＳとの間のインタフェースも上述したようにして構成される。このインタフェースは、ＬＤＡＰ（軽量ディレクトリアクセスプロトコル）、またはＣＯＰＳ（共通オープンポリシーサービス）プロトコルに基づくことができる。

ＣＰＳの特別機能（ＴｒＧＷへＣＰＳから送られる要求、ＳＩＰメッセージの変更）は、現ＣＰＳインプリメンテーションに付加することも、またはＳＩＰプロキシサーバ内に実現することもできる。ＣＰＳは、全てのＳＩＰシグナリングをこのＳＩＰプロキシへ送り、ＳＩＰプロキシは上述した動作を遂行する。

この変更を図４に示す。この方法の流れは図２に示す流れに類似しているが、図２のＣＰＳに賦課される機能は、この変更においてはＣＰＳとアンカーノードとの間に位置しているＳＩＰプロキシサーバに移されている。ＣＰＳは、代替通信管理ノードとして単にＳＩＰプロキシサーバへ向かう通信セッションを開始させるための要求を中継し、またそれぞれの応答／肯定応答をＵＥへ中継するだけである。従って、詳細な説明は省略する。

以上に説明したように、通信の機密保護は、ＳＩＰシグナリング及び通信ノード間で交換されるデータを分析することによって、より詳しく言えば、ファイアウォールのための“ダイナミックなルール”として役立っている指示されたＩＰアドレス（及び、オプションとしてポート番号）を分析することによって達成することができる。

以上に、本発明をそれに包含される方法に関連して説明した。しかしながら、本発明は相応に適合させたノードにも関している。

以上のアンカーノードの構成方法から、アンカーノードが以下のように構成されていることが理解されよう。

本発明による、及び図５に示すアンカーノードは、通信セッションの開始を要求する第１の端末のための結合を確立するための結合要求を通信管理ノードから第１に受信する受信機と、上記受信した結合要求に応答して上記第１の端末ＵＥのための結合を第１に確立し、上記結合を上記通信管理ノードへ戻すプロセッサとを含み、上記受信機は、第２の端末を通信セッション内に含ませるための結合を確立するための結合要求を通信管理ノードから第２に受信し、上記プロセッサは、上記通信管理ノードから要求された時に第２の端末ＣＮのための結合を第２に確立する。受信機が実際には受信機／送信機であり、送信機部分が、確立された結合に関する情報を通信管理ノードＣＰＳ（または、プロキシＣＳＣＦ）へ戻すことを理解されたい。図５には結合要求を別個に受信するように示されているが、これは単に説明の都合に過ぎず、異なる時点に受信される両要求は、勿論、通信管理ノードＣＰＳ（または、プロキシＣＳＣＦ）へ向かうものをアンカーノードの同一のインタフェースを介して受信できることを理解されたい。

更に、プロセッサは、結合を確立する時に上記それぞれの端末にエイリアスを関連付ける割当てデバイスを更に含み、またアンカーノードは、それぞれの端末のための関連付けられたエイリアスを格納するメモリを含む。

更に、通信方法から、アンカーノードが以下のように構成されていることが理解されよう。因みに、種々の図面にアンカーノードが示されているが、これも単なる例示に過ぎないことを理解されたい。実際には、本発明によるアンカーノードには全ての内部デバイス／手段が常時設けられており、これらはアンカーノードの動作状態に従って、即ちアンカーノードが構成される時に、またはアンカーノードを介して通信する時に選択的に動作させられる。また構成は、アンカーノードの処理デバイスが構成及び通信処理を並列処理することができるように好ましく構成されているので、通信と通信との間に、または通信中に遂行することができる。また、アンカーノードの若干の構成要素（例えば、受信機、メモリ）は二重に設けられているのではなく、構成及び通信の両目的のために使用される。

本発明による、及び図６に示すアンカーノードは、第１の端末ＵＥ、ＣＮから第２の端末ＣＮ、ＵＥへ伝送すべきデータを受信する受信機と、これらの端末のためのそれぞれの結合のテーブルを格納するメモリと、伝送すべきデータを上記端末のための結合を使用して上記ネットワークのフィルタリングノードＦＷへ中継するプロセッサとを含む。勿論、受信機は実際には受信機／送信機であり、プロセッサの処理結果に従ってデータを中継するための送信機として動作する。プロセッサは、メモリ、及びその中に格納されている結合と協同し、通信方法に関連して説明したようにデータのヘッダーを変更する。アンカーノードは、アンカーノードが結合情報を有しているデータ／アドレスについてデータのファイアウォールへの中継を選択的に遂行する。即ち、エイリアス（結合）がアンカーノード内に格納されていない端末アドレスに関連付けられたデータがファイアウォールへ転送されるのを阻止することができる。これは、アンカーノードが結合を検査し、フィルタリングノードへの結合に従って有効パケットだけを送ることを、それ故既にファイアウォール機能の一部を構成していることを意味している。それにも拘わらず、この機能はファイアウォール自体の機能であり得る。

また、通信方法に関して、フィルタリングノードが以下のように構成されていることが理解されよう。

本発明による、及び図７に示すフィルタリングノードは、第１の端末ＵＥ、ＣＮから第２の端末ＣＮ、ＵＥへ伝送すべきデータをこれらの端末のための結合を維持しているアンカーノードから受信する受信機と、上記端末のための結合を分析するプロセッサと、分析の結果に依存して上記データをフィルタリングするフィルタとを含む。

詳述すれば、上記フィルタは、もしアンカーノードにおける構成された結合の間にそのような結合が存在すれば、該結合に基づいて、上記伝送すべきデータを第２の端末ＣＮ、ＵＥへ通過させ、もしアンカーノードにおける構成された結合の間にそのような結合が存在しなければ、該結合に基づいて、上記データが第２の端末ＣＮ、ＵＥへ伝送されるのをブロックする。ブロックされたデータは引渡されることはなく、削除または破棄される。このように、フィルタリングノードは、アンカーノードからフィルタリングノードに到着する、従って、有効であると“考えられる”（例えば、アンカーノードを通過してきたことによる）パケットが、その他の点でも無効ではないことを検査する。

アンカーノード並びにフィルタリングノードのブロック回路図には、何等かの特定の実施の詳細が示されていないことに注目されたい。ノードは、デジタル信号プロセッサＤＳＰまたはＡＳＩＣ（特定用途向け集積回路）のようなハードウェアで、またはソフトウェアで実現することができる。ノードは、遂行すべき特定の方法／ステップに関して説明したような機能を遂行する限り、如何なる実施の形態も可能である。

上述したように、本発明は適切な機密保護のレベルを確保するためにダイナミックなピンホールを生成する必要があるシナリオにおいて、ファイアウォールを通るＩＰ通信をフィルタする方法及び対応するノードを提供する。本発明は、ファイアウォールがパケットのフィルタリングを遂行する前に、全ての通信を通過させる安全な、且つ公認されたアンカーの作成に基づく。本発明は、新しいエンティティを導入することなく、既存フレームワークを再使用する。本発明は、格納されているマッピングテーブル及びＣＰＳ（または、ＳＩＰプロキシ）とトランスレータゲートウェイＴｒＧＷとの間のインタフェースに従ってヘッダー内のアドレスをスイッチするＴｒＧＷに頼っている。このインタフェースは、セッションの開始時にＣＰＳがＩＰアドレス間の結合データを供給するようにＴｒＧＷに要求することを可能にし、ＴｒＧＷが結合データをＣＰＳに供給することを可能にし、そしてセッション解放時にＣＰＳが結合を解放することを可能にする。ＦＷはステートフルのものであり、外部インタフェース上において、ＦＷはＩＰアドレスがＴｒＧＷのアドレスのプールに属している入パケットだけを受入れる。従って、既存呼出しに対応しない如何なる入パケットもＴｒＧＷにおいてドロップされ、有効パケットは、そのパケットが奇形メッセージまたは他の攻撃ではないことを検証するＦＷを通過させられる。

以上に、本発明を単なる例示を目的とする選択された特定の実施の形態に関して説明したが、上述した説明及び添付図面は単に本発明を説明するためにのみ示したものであることを理解されたい。方法及びノードの好ましい実施の形態は、特許請求の範囲内で変化させることが可能である。

ＩＰｖ６ネットワークとＩＰｖ４ネットワークとを網間接続するために３ＧＰＰに採用されている公知のアーキテクチャを説明する図である。 アンカーノードの構成に関して本明細書において提唱する本発明を説明する図である。 本明細書において提唱されている本発明をデータの伝送に適用する場合のＩＰパケット経路指定を説明する図である。 アンカーノードの構成に関して本発明の実施の特定の代替方法を説明する図である。 本発明によるアンカーノードの構成に関してアンカーノードを説明する図である。 本発明によるデータの伝送に関してアンカーノードを説明する図である。 本発明によるデータの伝送に関してフィルタリングノードを説明する図である。 通信セッションの終了に関してシグナリングを説明する図である。

Claims (24)

1. 通信ネットワーク内にアンカーノードを構成する方法であって、
   第１の端末のための通信セッションの開始を、上記通信ネットワークの通信管理ノードを介して第１に要求するステップと、
   上記通信管理ノードによって要求された時に、アンカーノードにおいて、上記第１の端末のための結合を第１に確立するステップと、
   上記第１開始要求を、上記確立された結合に基づいて上記通信管理ノードから第２の端末へ転送するステップと、
   上記第２の端末による上記第１の開始要求に対して、上記通信管理ノードへ肯定応答するステップと、
   上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、上記第２の端末のための結合を第２に確立するステップと、
   を含むことを特徴とする方法。
2. 上記開始要求ステップは、
   少なくとも上記通信セッション内に含まれる端末のアドレスを、上記通信管理ノードへ指示するステップ、
   を含むことを特徴とする請求項１に記載の方法。
3. 上記指示ステップは更に、
   上記第１の端末の上記通信セッションのためのポート番号を通報するステップ、
   を含むことを特徴とする請求項２に記載の方法。
4. 上記結合確立ステップは、
   上記それぞれの端末にエイリアスを関連付けるステップ、
   を含むことを特徴とする請求項１に記載の方法。
5. 上記結合確立ステップは更に、
   上記それぞれの端末の関連付けられたエイリアスを、上記アンカーノードに格納するステップ、
   を含むことを特徴とする請求項４に記載の方法。
6. 上記肯定応答ステップは更に、
   上記第２の端末の上記通信セッションのためのポート番号を通報するステップ、
   を含むことを特徴とする請求項１に記載の方法。
7. 上記セッションの開始を、上記第２の端末のための結合を使用して上記第１の端末へ通知するステップを更に含むことを特徴とする請求項１に記載の方法。
8. 上記第１の端末のための通信セッションの終了を、通信ネットワークの通信管理ノードを介して第２に要求するステップと、
   上記第２の終了要求を、上記確立された結合に基づいて上記通信管理ノードから上記第２の端末へ転送するステップと、
   上記第２の端末による上記第２の終了要求に対して、上記通信管理ノードへ肯定応答するステップと、
   上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、上記第１の端末のための結合を第１に解放するステップと、
   上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、上記第２の端末のための結合を第２に解放するステップと、
   を更に含むことを特徴とする請求項１に記載の方法。
9. 上記解放ステップは、
   上記それぞれの端末の関連付けられたエイリアスを、上記アンカーノードにおいて削除するステップ、
   を含むことを特徴とする請求項８に記載の方法。
10. 通信ネットワーク内の第１の端末と第２の端末との間に確立された通信セッションでデータを通信する方法であって、
    伝達すべきデータを、上記第１の端末から、上記端末のためのそれぞれの結合のテーブルを格納するように構成されているアンカーノードへ伝送するステップと、
    上記伝達すべきデータを、上記端末のための構成された結合を使用して上記アンカーノードから上記ネットワークのフィルタリングノードへ中継するステップと、
    上記伝達すべきデータを、上記フィルタリングノードにおいて、上記端末のための結合に基づいてフィルタするステップと、
    を含むことを特徴とする方法。
11. 上記フィルタリングステップは更に、
    もし構成された結合間にそのような結合が存在すれば、上記結合に基づいて、上記伝達すべきデータを上記フィルタリングノードを通過させて第２の端末へ向かわせるステップ、を含むことを特徴とする請求項１０に記載の方法。
12. 上記フィルタリングステップは更に、
    もし構成された結合間にそのような結合が存在しなければ、上記結合に基づいて、上記データが上記フィルタリングノードを通過して第２の端末へ伝達されるのを阻止するステップ、
    を含むことを特徴とする請求項１０に記載の方法。
13. 通信ネットワーク内のアンカーノードであって、
    通信セッションを通信管理ノードから要求している第１端末のための結合を確立する第１の結合要求を受信する受信機と、
    上記受信した結合要求に応答して上記第１の端末のための第１の結合を確立し、上記結合を上記通信管理ノードへ戻すプロセッサと、
    を含み、
    上記受信機は、第２の端末を上記通信セッション内に含ませるための第２の結合を確立するための第２の結合要求を上記通信管理ノードから受信し、
    上記プロセッサは、上記通信管理ノードから要求を受信した時に、上記第２の端末のための第２の結合を確立する、
    ことを特徴とするアンカーノード。
14. 上記プロセッサは、上記結合を確立する時に、上記それぞれの端末にエイリアスを関連付ける割当てデバイスを含む、
    ことを特徴とする請求項１３に記載のアンカーノード。
15. 上記それぞれの端末に関連付けられたエイリアスを格納するメモリを更に含むことを特徴とする請求項１４に記載のアンカーノード。
16. 通信ネットワーク内のアンカーノードであって、
    第１の端末から第２端末へ伝達すべきデータを受信する受信機と、
    上記それぞれの端末のための構成された結合のテーブルを格納するメモリと、
    上記伝達すべきデータを、上記端末のための構成された結合を使用して上記ネットワークのフィルタリングノードへ中継するプロセッサと、
    を含むことを特徴とするアンカーノード。
17. 通信ネットワーク内のフィルタリングノードであって、
    第１の端末から第２の端末へ伝達すべきデータを、上記端末のための結合を維持しているアンカーノードから受信する受信機と、
    上記端末のための結合を分析するプロセッサと、
    上記分析の結果に依存して、上記データをフィルタするフィルタと、
    を含むことを特徴とするフィルタリングノード。
18. 上記フィルタは、もし上記アンカーノードにおける構成された結合間にそのような結合が存在すれば、上記結合に基づいて、上記伝達すべきデータを上記第２の端末へ通過させる、
    ことを特徴とする請求項１７に記載のフィルタリングノード。
19. 上記フィルタは、もし上記アンカーノードにおける構成された結合間にそのような結合が存在しなければ、上記結合に基づいて上記データが第２の端末へ伝達されるのを阻止する、
    ことを特徴とする請求項１７に記載のフィルタリングノード。
20. 上記中継ステップは、上記構成された結合に基づいてアドレス変換するステップを含むことを特徴とする請求項１０に記載の方法。
21. 上記プロセッサは、上記構成された結合に基づいてアドレス変換を遂行するアドレストランスレータを含むことを特徴とする請求項１６に記載のアンカーノード。
22. 通信ネットワーク内にアンカーノードを構成するためのシステムであって、
    第１の端末のための通信セッションを開始するために、上記通信ネットワークの通信管理ノードを介して第１に要求する第１の要求手段と、
    上記通信管理ノードよって要求された時に、アンカーノードにおいて、上記第１の端末のための結合を第１に確立する第１の確立手段と、
    上記第１開始要求を、上記確立された結合に基づいて上記通信管理ノードから第２の端末へ転送する転送手段と、
    上記第２の端末による上記第１開始要求に対して、上記通信管理ノードへ肯定応答する肯定応答手段と、
    上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、上記第２の端末のための結合を第２に確立する第２の確立手段と、
    を含むことを特徴とするシステム。
23. 上記第１の端末のための通信セッションを終了させるために、上記通信ネットワークの通信管理ノードを介して第２に要求する第２の要求手段と、
    上記第２の終了要求を、上記確立された結合に基づいて上記通信管理ノードから上記第２の端末へ転送する転送手段と、
    上記第２の端末による上記第２の終了要求に対して、上記通信管理ノードへ肯定応答する肯定応答手段と、
    上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、上記第１の端末のための結合を第１に解放する第１の開放手段と、
    上記通信管理ノードによって要求された時に、上記アンカーノードにおいて、上記第２の端末のための結合を第２に解放する第２の開放手段と、
    を更に含むことを特徴とする請求項２２に記載のシステム。
24. 通信ネットワーク内の第１の端末と第２の端末との間の確立された通信セッションでデータを通信するシステムであって、
    伝達すべきデータを、上記第１の端末から、上記端末のためのそれぞれの結合のテーブルを格納するように構成されているアンカーノードへ伝送する伝送手段と、
    上記伝達すべきデータを、上記端末のための構成された結合を使用して上記アンカーノードから上記ネットワークのフィルタリングノードへ中継する中継手段と、
    上記伝達すべきデータを、上記フィルタリングノードにおいて、上記端末のための結合に基づいてフィルタするフィルタリング手段と、
    を含むことを特徴とするシステム。

Images