JP2008512958A - 無線アクセスゲートウェイのためのダイナミック・ファイアウォール機能 - Google Patents

Abstract

【課題】通信ネットワークのアクセスゲートウェイにおけるデータパケットのダイナミック・フィルタリングについての方法及びシステムを提供する。
【解決手段】本方法によれば、ポリシーサーバは、ネットワークノードからのネットワークを用いて登録に対する要求を受信する。サーバは、ネットワークノード同一性を検証し、ネットワークノードについて対応するセキュリティポリシーを選択する。選択されたセキュリティポリシーは、サーバによってネットワークアクセスゲートウェイに指示される。ネットワークアクセスゲートウェイは指示されたセキュリティポリシーを選択する。選択されたセキュリティポリシーは、ネットワークノードとネットワークとの間の通信に適用される。
【選択図】図１

Description

本発明は、有線及び無線アクセスゲートウェイにおけるネットワークセキュリティを提供するためのダイナミック・フィルタリング機能に関する。更に詳細には、本発明は、ＣＤＭＡ２０００無線ネットワークのパケットデータ・サービングノード（ＰＤＳＮ）及びホームエージェント（ＨＡ）のダイナミック・ファイアウォールに関する。

インターネット上の情報交換は、ネットワークアクセスを部外者に許容することを含めるとき、その情報交換に含まれるネットワークに対する安全危機を引き起こす。非合法なユーザは、データを交換し、データに対する非認可アクセスを獲得し、データを破壊し、或は、ネットワークリソースの非認可の利用を行うことができる。

これらのセキュリティ問題は、かかるネットワーク及び関連リソースのセキュリティを確保する保護手段の実施を要求する。ネットワークへの望まないアクセス又は非合法なアクセスを制御する最も一般的な利用技術には、ファイアウォール技術が含まれる。ファイアウォールは、特定のハードウェア上に実施された一連の関連プログラムである。ネットワークにおいて、そのハードウェアは、一般にネットワークゲートウェイサーバである。このネットワークゲートウェイサーバは、他のネットワークへの入口として作動するポイントである。ゲートウェイは、しばしばルータ又はスイッチに関連する。ルータは、ゲートウェイに到来したデータパケットの行先を認知している。ファイアウォールは、ルータプログラムと緊密に動作し、ネットワークへ及びネットワークからのネットワークパケットを許可又は拒否するルールベース・プロファイルを与える。開放型システム間相互接続（ＯＳＩ）ネットワークモデルに対しては、一般に、ルールベース・プロファイルがパケット内の第２層から第７層の情報に基づく通信セッションを拒否又は許可する。例えば、特定のファイアウォール・ルールは次の通りである。
If (interface == eth0 && ip.src == 149.112.164.0/24 && tcp.dst == 22)
allow;
Else
deny;

上記ルールにおいては、ソースＩＰアドレスの範囲が１４９．１１２．１６４．０〜１４９．１１２．１６４．２５５までのイーサネット（登録商標）インタフェース０からのパケットに対して２２番ポートのサービスを使用することを許可するが、他の全てのトランザクションは拒否する。さらに、このファイアウォール・ルールは、固定であっても動的なものであっても良い。上記例においては、ルールは固定されたものとなる。

ダイナミック・ファイアウォールは、ステートフル（stateful）・ファイアウォールとも呼ばれ、２つのネットワーク間の通信状態を監視する。通信状態についての情報は、状態テーブルと呼ばれるテーブルに格納される。通信ホストに使用されるプロトコルによって変換する様々な情報形式が、この状態テーブルに格納されうる。例えば、状態テーブルにはソース及びデスティネーションＩＰアドレス、ソース及びデスティネーションポート、フラグ、シーケンス、受信通知番号、アプリケーション形式、アプリケーションデータ等についての情報が含まれる。特定の状態と、その状態に対する対応セキュリティポリシーセットとに基づいて、ファイアウォールは、どのパケットが許可されるべきか又は拒否されるべきかを判断する。

例えば、ファイアウォールは、そのファイアウォールによって保護されているホストの全ての転送制御プロトコル（ＴＣＰ）ポートをブロックすることができる。保護されたホストがインターネット上のサーバに対してＴＣＰセッションを確立するたびに、ダイナミック・ファイアウォールはそのセッションが完了するのを記憶する。そうして、そのセッションが継続している限り、ダイナミック・ファイアウォールは、サーバからのＴＣＰパケットに対して通過するための適切なポート番号を許可する。他の例では、プライベートネットワーククライアントがサーバに対してアウトバウンド（outbound）接続を実行したときには、そのファイアウォールは、状態テーブル内のソース及びデスティネーションＩＰアドレスとポート番号とを格納することができる。また、ファイアウォールは、状態テーブルに他の形式の情報を登録することもできる。ファイアウォールは、サーバの反応を受信したとき、状態テーブルをチェックし、そのサーバへの何れかのアウトバウンド要求がなされたかどうかを見る。もし、状態テーブル内に対応するエントリが存在する場合には、ファイアウォールは、そのアウトバウンド要求を作成した内部ネットワーククライアントへの応答を通過させる。

ネットワークのアクセスゲートウェイにおいて実施されるファイアウォール、より詳細には、ダイナミック・ファイアウォールは重要である。その理由は、ファイアウォールの手助けによって、アクセスゲートウェイが、ターゲットユーザとのやり取り以外に他のユーザ又は何れかへ経路選択されることによるネットワークユーザのトラフィックを予防することができるからである。さらに、ファイアウォールは、ある種類のネットワーク調査及び攻撃を予防する能力を備える。ファイアウォール又は同等の機能がなければ、そのネットワーク要素はインターネット上の悪意のあるホストからの攻撃に対して無防備となる。これらの攻撃には、コンピュータウィルス、トロイの木馬、及び他の形式の利己的な利用を拡散しようとする攻撃が含まれる。また、非制限のインターネット接続性は、ネットワーク及びネットワーク要素のコンピューティング資源を利用して役に立たない計算をさせるサービス不能（ＤｏＳ）攻撃にネットワーク要素をさらし、エンドユーザが所望のアプリケーションを実行するのを妨げることとなる。

無線ネットワークは、ポートスキャン及びＩＰアドレスレンジスキャンに対して特に脆弱である。これらの攻撃は、高価な無線ネットワーク資源の不必要な使用を引き起こす。ファイアウォールによって、ネットワークサービスプロバイダは個々のユーザがアクセスするアプリケーション及びサービスを制御可能となり、これにより、かかる攻撃を予防する。さらに、一部のユーザは、ファイアウォールによって他のユーザがアクセスブロックされている間、特定のアプリケーションサーバに対してアクセス可能になる。

ＣＤＭＡ２０００無線ネットワークにおいては、ファイアウォールは、パケットデータ・サービングノード（ＰＤＳＮ）及びホームエージェント（ＨＡ）といったアクセスノードにおいて実施可能である。このファイアウォールは、これらアクセスゲートウェイを通って送信されるデータパケットのフィルタリング操作を実行する。フィルタリングは、ファイアウォールの使用を参照してネットワーク上に送信されるデータパケットを遮蔽し、それゆえ、データパケットに対してネットワークへの出入りを許可又は拒否することができる。

ＣＤＭＡ２０００ ＰＤＳＮは、インターネット、イントラネット、及びアプリケーションサーバへのアクセスをモバイルステーションに対して提供する。広く言及すると、ＰＤＳＮは、モバイルステーションにＩＰネットワークへのゲートウェイを与える。ＣＤＭＡ２０００ ＨＡは、モバイルノードのホームネットワーク上のルータである。ＨＡは、モバイルノードの現在の位置についての情報を維持する。ＨＡは、トンネリング機構を使用し、異なる場所から接続される度にモバイルノードのＩＰアドレスを変更することを要求しないような方法で、インターネット上のモバイルノードとの間を行き来するデータを管理する。トンネリングにおいては、プライベートネットワークを意図されたデータのトランザクションは、パブリックネットワークのルータが、そのトランザクションがプライベートネットワークの一部であるということを認知しないと言う方法で、パブリックネットワークによって作成される。

しかしながら、フィルタリング操作を選択的に実行するための準備が存在しない。それゆえ、特定の形式のデータパケットに対するフィルタリングがネットワーク内の一つの場所だけで実行されるような方法で、データパケットをフィルタリングする方法及びシステムが必要とされている。

本発明の目的は、特定のフィルタが通信ネットワークにおける１つのコンポーネントのみに適用されるような、通信ネットワークのデータパケットのダイナミック・フィルタリングに対するユーザベースのフィルタリング機構を提供することである。

本発明の他の目的は、アクセスゲートウェイのネットワークノードに関連するデータパケットのフィルタリングに対するフィルタリング機能を提供することであり、もしそのネットワークノードがリバーストンネリングを用いたモバイルインターネットプロトコルを通して通信する場合には、そのアクセスゲートウェイは、そのネットワークノードに対応するホームネットワークのホームエージェントとなる。

本発明の他の目的は、アクセスゲートウェイにおけるネットワークノードに関連するデータパケットのフィルタリングに対するフィルタリング機能を提供することであり、このネットワークノードがシンプルインターネットプロトコルを通して、或は、リバーストンネリングなしにモバイルインターネットプロトコルを通して通信している場合には、このアクセスゲートウェイはネットワークのパケットデータ・サービングノードであり、他のものはネットワークノードに対応するホームネットワークである。

本発明の他の目的は、アクセスゲートウェイにおけるデータパケットのダイナミック・フィルタリングに対するフィルタリング機能を提供することであり、そのネットワークノードに対する適切なセキュリティポリシーを示すサーバが、この目的のために構成されたローカルポリシーサーバか、或は、認証、認可、及び会計サーバのうちの何れか１つ又は両方である場合には、その適切なセキュリティポリシーを指示するよう構成される。

これらの目的を達成するために、本発明は、ネットワークにおけるデータパケットのダイナミック・フィルタリングのためのシステム及び方法を提供する。この方法は、ネットワークにアクセスするためのネットワークノードから登録要求を受信し、この登録要求に返答し、アクセスゲートウェイにおけるネットワークノードに関連するデータパケットをフィルタリングすることを含む。この登録要求は、数あるパラメータの中で、ネットワークノードの位置を指示する識別子を含む。そして、そのアクセスゲートウェイは、その識別子によって指示されたときネットワークノードの位置に基づいて選択される。

本発明は、ネットワークサービスプロバイダ及びユーザに、ネットワークアクセスゲートウェイ上の利用のためのダイナミック・フィルタリング機構を提供する。本発明のフィルタリング機構は、従来のダイナミック・ファイアウォールの発展形である。

いくつかの形式の無線又は有線アクセスゲートウェイ、例えば、符号分割多重アクセス（ＣＤＭＡ）ゲートウェイ、汎用パケット無線システム／ユニバーサル移動電話システム（ＧＰＲＳ／ＵＭＴＳ）ゲートウェイ、ゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ）、及び８０２．１１ローミングゲートウェイが、本発明によってサポート可能である。

図１に、本発明のシステムに基づく実施形態が実施された相互ネットワーク環境を示す。本発明のシステムのダイナミック・ファイアウォールは、ネットワークアクセスゲートウェイ１０２に組み込まれている。本発明の実施形態によれば、パケットデータ・サービングノード（ＰＤＳＮ）又はホームエージェント（ＨＡ）は、ＣＤＭＡ２０００無線アクセスネットワーク（ＲＡＮ）とインターネットプロトコル（ＩＰ）ベースのネットワークとの間のアクセスゲートウェイとして作動する。しかしながら、本発明のシステムはＰＤＳＮ又はＨＡに限定されるものではなく、ネットワークに対する他の何れの形式のアクセスゲートウェイにも適用可能である。デバイス又はアプリケーションが、認証、認可、及び会計（ＡＡＡ）サーバ１０４と通信するための標準は、遠隔認証ダイアルインユーザサービス（ＲＡＤＩＵＳ）である。しかしながら、通信標準としてのＲＡＤＩＵＳの利用は、本発明の範囲及び趣旨を制限するものとみなされるべきではない。ダイアメータ（Diameter）といった他の標準、又は他の適当な標準も利用可能である。

ネットワークアクセスゲートウェイ１０２は、ネットワークユーザに対応するセキュリティ情報を交換するためにＡＡＡサーバ１０４と通信する。ネットワークユーザは、ネットワーク要素１０６であってもよい。ネットワーク要素１０６には、通信のためのあらゆるネットワークデバイスが含まれる。例えば、ネットワーク要素１０６は、デスクトップコンピュータであってもよく、携帯電話、ラップトップ、携帯情報端末（ＰＤＡ）等であってもよい。ネットワーク要素１０６は、ネットワークアクセスゲートウェイ１０２に信号を送信することによって、ＣＤＭＡ２０００に登録を行う。

次に、ネットワークアクセスゲートウェイ１０２は、ネットワーク要素１０６の登録についての情報をＡＡＡサーバ１０４に伝達する。ＡＡＡサーバ１０４に組み込まれたサーバプログラムは、ネットワーク要素１０６の登録及びアクセス要求に関するネットワークアクセスゲートウェイ１０２によって送信された情報を管理する。ＡＡＡサーバ１０４は、本発明のＣＤＭＡ２０００ネットワークに登録された全てのネットワーク要素に対して認証、認可、及び会計サービスを提供する。

図１を参照すると、本発明のネットワークアクセスゲートウェイ１０２は、様々なセットのファイアウォール・ポリシーを備えている。これら一連のファイアウォール・ポリシーは、ルールベースとも呼ばれている。このファイアウォール・ルールベースは、ネットワークのセキュリティポリシーの技術的実施手段である。適切な権限を持った個人は、セキュリティポリシーを決定することができる。このセキュリティポリシーは、例えば、次のようなルールからなる。つまり、特定のソースＩＰアドレスレンジのみを伴ったイーサネット（登録商標）インタフェース‘０’からのデータパケット到来を許可し、選択したサイトへのアクセスを拒否する、あるいは他の何れかのルールである。本発明のファイアウォールは技術的要求を決定し、これらのルールを実施する。この技術的要求及び実施は、ネットワークアクセスゲートウェイ１０２に組み込まれたコンピュータプログラムの形式で特定される。

ネットワーク要素１０６がＣＤＭＡ２０００ネットワークに登録されると、ネットワークアクセスゲートウェイ１０２に要求が送られる。ネットワークアクセスゲートウェイ１０２はＰＤＳＮ及び／又はＨＡでありうる。本発明の実施形態において、ＡＡＡサーバ１０４は、適切な場合には、パケットがこれらの要素を通過したときに同じルールが同じパケットに再度適用されないように、いくつかのルールをＰＤＳＮに適用し、他のルールをＨＡに適用する。

他の実施形態においては、ネットワーク要素１０６が自身のホームネットワーク以外のネットワークに配置されている場合には、ネットワークアクセスゲートウェイ１０２はＰＤＳＮである。ホームネットワークは、モバイルデバイスが自身の恒久ＩＰアドレスを有するネットワークである。ホームネットワーク以外のネットワークは、在外ネットワークと呼ばれる。この場合のネットワーク要素１０６であるモバイルデバイスは、在外ネットワークを訪れるたびに一時的な気付アドレス（care-of address）を取得する。この気付アドレスは、そのアドレスがホームネットワークに存在しないときは、ネットワーク要素１０６の位置決定が許可される。ＰＤＳＮは、仮想プライベートネットワークに対するシンプルＩＰ及びモバイルＩＰアクセスと、在外エージェントサポートと、パケット転送とを供給する。しかしながら、もしネットワーク要素１０６がそのホームネットワークに存在する場合には、ネットワークアクセスゲートウェイ１０２は、ＨＡとなる。従来技術において既知のＨＡは、ネットワーク要素１０６のホームネットワーク上のルータである。ＨＡは、その気付アドレスで識別されたときネットワーク要素１０６の位置についての情報を維持し、ネットワーク要素１０６が在外ネットワークにあるときには、トンネリング機構を使用してネットワーク要素１０６へネットワーク・トラフィックを転送する。

ネットワーク要素１０６から登録要求を受信すると、ネットワークアクセスゲートウェイ１０２は、ネットワークにアクセスするための要求が受信されたことをＡＡＡサーバ１０４に通知する。登録要求の内容は、ネットワーク要素１０６を識別するための識別子を含む。さらに、この識別子は、数ある情報の中で、ネットワークワーク要素１０６の位置についての詳細を含む。ネットワーク要素１０６の位置は、ネットワーク要素１０６がホームネットワーク内にあるのか、或は、在外ネットワーク内にあるのかを示す。

ネットワークアクセスゲートウェイ１０２からアクセスに対する要求を受信すると、ＡＡＡサーバ１０４は、ネットワーク要素１０６に対してアクセス応答を返答する。ＡＡＡサーバ１０４は、ネットワークリソースへのアクセスのインテリジェント制御、適切なセキュリティポリシーの施行、ネットワークリソースの監査利用のためのフレームワークを提供し、ネットワークユーザによって利用されるサービスの請求に必要な情報を記録するためのフレームワークを提供する。ＡＡＡサーバ１０４は適切なセキュリティポリシーの施行のために供給されるので、ＡＡＡサーバ１０４からのアクセス応答は、数あるパラメータの中で、適用されたファイアウォール・ポリシーの指示を含む。ＡＡＡサーバ１０４から到来するインジケータの様式は、ＡＡＡサーバ１０４の属性でありうる。例えば、ネットワーク要素１０６上に構成されたフィルタの１つの名前を特定する「フィルタ名」属性が挙げられる。本発明の実施形態においては、この様式には、フィルタの名前と伴ったＡＳＣＩＩ文字列を含めることができる。ＡＡＡサーバ１０４は、ネットワーク要素１０６に対する適切なファイアウォール・ポリシーを指示するだけであり、実際にそのファイアウォール・ポリシーを供給しない。この理由は、いくつものファイアウォール・ポリシーからなるファイアウォール・ルールベースはＡＡＡサーバ１０４にではなくネットワークアクセスゲートウェイ１０２に組み込まれているからである。ＡＡＡサーバ１０４は、ネットワーク要素１０６によって規定されるパラメータに応答する。ＡＡＡサーバ１０４は、ネットワーク要素１０６の登録時に承認された識別属性から、ネットワーク要素１０６に対応するパラメータを識別する。

本発明の実施形態によれば、ＡＡＡサーバ１０４は、ネットワーク要素１０６に対する識別子によって与えられた情報をスキャンする。特に、ネットワーク要素１０６の位置に関する情報は、そのファイアウォールがネットワーク要素１０６に対して適用されることとなるネットワークアクセスゲートウェイ１０２の形式をＡＡＡサーバ１０４が決定するのを補助する。本発明の実施形態においては、もしネットワーク要素１０６が在外ネットワークに存在し、かつ、トンネリングを通してそのホームネットワークからの情報パケットを受信しているならば、ＡＡＡサーバ１０４は、ＰＤＳＮにおいて実行されるべきデータパケットのフィルタリングを指示する。換言すれば、ＡＡＡサーバは、ネットワーク要素１０６に対応するＰＤＳＮにおけるファイアウォール・ポリシーのうちの１つを指示する。加えて、もしネットワーク要素１０６が何れかのネットワークに存在し、シンプルＩＰを通してネットワークへアクセスすることを要求すれば、ＡＡＡサーバ１０４は、ネットワーク要素１０６が現在配置されているネットワークのＰＤＳＮにおいて実行されるべきデータパケットのフィルタリングを指示する。しかしながら、もしネットワーク要素１０６が在外ネットワークに配置されており、かつ、そのホームネットワークにおける対応ノードへデータパケットを送信することによってそのホームネットワークと通信する場合には、ＡＡＡサーバ１０４は、そのホームネットワークのＨＡにおいて実行されるべきフィルタリングを指示する。後者の場合、通信はリバーストンネリングを通って実施される。

したがって、ネットワークアクセスゲートウェイ１０２は、ＡＡＡサーバ１０４によって送信されたアクセス応答から、ネットワーク要素１０６のための対応ファイアウォール・ポリシーを含むいくつかの属性を受信する。そうして、ネットワークアクセスゲートウェイ１０２は、そのパラメータによって規定されたネットワーク要素１０６に対するネットワークリソースにアクセス可能となる。さらに、ネットワークアクセスゲートウェイ１０２は、ＡＡＡサーバ１０４によって指示された通り、ファイアウォール・ポリシーをネットワーク要素１０６のトラフィックに適用する。

図２に、ネットワーク要素１０６に対する適切なファイアウォール・ポリシーの設定に関する情報の交換を詳細に示す。段階２０２において、ネットワークアクセスゲートウェイ１０２は、ネットワーク要素１０６に代わって送信された登録要求を受信する。この登録要求は、ネットワーク要素１０６の識別子を含む。段階２０４において、ネットワークアクセスゲートウェイ１０２は、この識別子と共に、ＡＡＡサーバ１０４への要求から導かれた情報を通過させる。段階２０６において、ＡＡＡサーバ１０４は、ネットワーク要素１０６に対する認証、認可、会計サービスを実行する。その機能の一部として、ＡＡＡサーバ１０４は、ネットワーク要素１０６の識別子を、適切なネットワークアクセスゲートウェイ１０２と、ファイアウォール・ルールベースにおいて存在するポリシーの中の適切なファイアウォール・ポリシーとに関連付ける。このファイアウォール・ルールベースはネットワークゲートウェイ１０２上に存在するので、ＡＡＡサーバ１０４は、タグを使ってネットワーク要素１０６に適切なファイアウォール・ポリシーを指示するだけである。このタグは、ネットワーク要素１０６に対してＡＡＡサーバ１０４によって指示されたファイアウォール・ポリシーを選択するための識別子として作動する。段階２０８において、このタグは、ネットワーク・トラフィックを管理するために要求された他の全ての属性と共に、ネットワークアクセスゲートウェイ１０２に伝達される。段階２１０において、ネットワークアクセスゲートウェイ１０２は、このファイアウォール・ポリシーをタグによって指示された通りに、ネットワーク要素１０６のネットワーク・トラフィックに適用する。最後に、段階２１２において、ネットワークアクセスゲートウェイ１０２は、登録に対する要求に応答してネットワーク要素１０６に返信する。

識別子からタグへのマッピングは、直接的なものでありうる。この識別子は、典型的には、ＮＡＩ（ネットワークアクセス識別子）、又は、user@domain.comの形式を有する。ＡＡＡは、ＮＡＩを使用して操作者によって事前に構成された結合に基づいたファイアウォール・ポリシーを決定する。この結合はまた、ドメインによって構成することもできる。例えば、domain1.comの全てのユーザは、domain2.comの全てのユーザが別のポリシータグに結合される間、特定のポリシータグに結合することができる。

本発明のシステムの実施形態によれば、ネットワークアクセスゲートウェイ１０２に組み込まれたファイアウォール・プログラムは、パケットのフィルタリングをサポートする。当業者にとっては、転送制御プロトコル（ＴＣＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、汎用ルーティングカプセル化（ＧＲＥ）、ＩＰｓｅｃ、あるいは他の何れのパケット形式も、本発明のシステムによってサポートされることは明らかである。

ＴＣＰフィルタリング機能を与えることに加えて、本発明のネットワークアクセスゲートウェイ１０２は、ネットワーク要素１０６からの全ての開放ＴＣＰ接続のトラックを保持することができる。例えば、ネットワークアクセスゲートウェイ１０２は、ネットワーク要素１０６のローカルＩＰアドレス、そのローカルポート、ネットワーク要素１０６がデータのパケットを交換している遠隔デバイスのＩＰアドレス、遠隔ポート等を監視する。

ネットワーク要素１０６は、ネットワークアクセスゲートウェイ１０２からの応答を受信すると、ＴＣＰセッションを確立する。一旦、ＴＣＰセッションが確立されると、ネットワークアクセスゲートウェイ１０２は、遠隔ポートから到来するパケットと、適切なローカルポート上のネットワーク要素１０６に対するリモートＩＰとを許可する。ネットワーク要素１０６に対する適切なローカルポートは、ネットワークアクセスゲートウェイ１０２上の対応するファイアウォール・ポリシーから決定され、次に、ＡＡＡサーバ１０４によって送信されたタグによって指示される。ネットワークアクセスゲートウェイ１０２は、セッションを終了させる要求が受信されるまで、遠隔ポートからのパケットを許可する。セッションを終了させる要求は、ネットワーク要素１０６によってか、あるいは、遠隔ポートによってかの何れかによって送信することができ、その後、遠隔ホストからネットワーク要素へのトラフィックはブロックされる。ネットワークアクセスゲートウェイ１０２は、かかる要求を受信するとＴＣＰセッションをクローズする。これは、ネットワークアクセスゲートウェイ１０２に存在するファイアウォール機能にダイナミックな性質を伝える。

ネットワーク要素１０６がモバイルデバイスであった場合について、トンネリングプロトコルをネットワーク要素１０６への転送のために使用可能であることは当業者にとっては明らかであろう。使用可能なトンネリングの標準としては、モバイルＩＰ，Ｌ２ＴＰ，ＰＰＴＰ，ＩＰｓｅｃ等が挙げられる。さらに、本発明の実施形態においては、リバーストンネリングを伴ったモバイルＩＰコールのためのファイアウォール機能が、モバイルデバイスのホームネットワークのルータ上で実行可能である。このように、ＣＤＭＡ２０００ネットワークの場合、モバイルデバイスのためのファイアウォール機能がＨＡにおいて提供可能である。また、リバーストンネリングを伴わない全てのシンプルＩＰコール及びモバイルＩＰコールに対して、ファイアウォール機能がＰＤＳＮにおいて与えられる。

本発明によれば、所定の条件において、フィルタリングがちょうど１つの位置におけるパケット上で実行される。つまり、リバーストンネリングを伴う全てのモバイルＩＰコールに対しては、フィルタリングはＨＡにおいて実行され、全てのシンプルＩＰコールに対しては、フィルタリングはＰＤＳＮにおいて実行され、リバーストンネリングを伴わないモバイルＩＰコールに対しては、フィルタリングはＰＤＳＮ及びＨＡにおいて実行される。

加えて、ＡＡＡサーバ１０４におけるファイアウォール機能は、望まないネットワーク調査又は攻撃を選択的に制限するよう構成可能である。ＰＤＳＮ及びＨＡは、インタフェースごとのファイアウォール・ルールを持った「堅牢な」ものであってもよい。例えば、ＰＤＳＮは、ＵＤＰポート６９９（Ａ１１）上の到来するユーザ・トラフィックと、無線ネットワークインタフェース上のプロトコルタイプ４７（ＧＲＥ）とを許可するだけにすべきである。インターネットインタフェース上では、ＰＤＳＮは、プロトコルタイプ４７（ＧＲＥ）及び４（ＩＰ）と同様に、ＵＤＰポート４３４との間の到来するユーザ・トラフィックを許可するだけにすべきである。ＨＡのモバイルＩＰインタフェースは、プロトコルタイプ４７（ＧＲＥ）及び４（ＩＰ）と同様に、ＵＤＰポート４３４上のユーザ・トラフィックを受諾するだけにすべきである。ＰＤＳＮ及びＨＡインタフェースは、制限されたセットのＩＰアドレスからだけのＰＩＮＧに応答するのみで、制限されたセットのＩＰアドレスからだけの遠隔ログイン（ｔｅｌｎｅｔ又はＳＳＨ）を許可するよう構成すべきである。

本発明のＡＡＡサーバは、ローカルポリシーサーバで置き換えることができる。ローカルポリシーサーバは、ネットワーク要素１０６に対応するポリシーを指示するよう構成されたサーバである。ローカルポリシーが使用されているとき、ＰＤＳＮ又はＨＡはＡＡＡサーバを照会しない。代わりに、ポリシーに対するＮＡＩのマッピングが、ＰＤＳＮ又はＨＡに対して内在的に実行される。ＰＤＳＮは、このマッピングを直接参照し、適切なポリシーを適用する。

代替的なモードにおいては、ローカルポリシーとＡＡＡポリシーとの両方が使用され、典型的には、ＡＡＡポリシーが、構成された何れのローカルポリシーにも優先する。

本発明において記載されたシステム又はそのコンポーネントの何れも、処理装置の形態で実施することができる。処理装置の典型的な例は、汎用目的のコンピュータ、プログラムされたマイクロプロセッサ、マイクロコントローラ、周辺集積回路要素、及び他のデバイス又はデバイスの配置を含み、本発明にかかる方法を構成する段階を実施することができる。

処理装置は、入力データを処理するために、１または複数の記憶要素に格納された一連の命令を実行する。また、記憶要素は、所望のデータ又は他の情報を保持することができる。記憶要素は、処理装置内に存在するデータベース又は物理メモリ要素の形式でありうる。

一連の命令は、本発明にかかる方法を構成する段階といった特定のタスクを実行するよう処理装置に指示する多様な命令を含む。一連の命令は、プログラム又はソフトウェアの形式でありうる。さらに、ソフトウェアは、別々のプログラムの集合、大きなプログラム又はプログラムモジュールの部分であるプログラムモジュールの形式であってもよい。また、ソフトウェアは、オブジェクト指向プログラミングの形式のモジュール式プログラミングを含むことができる。処理装置による入力データの処理は、ユーザコマンドに応答することができ、あるいは、先行する処理の結果に応答することができ、あるいは、他の処理装置による要求モードに応答することができる。

多様な処理装置及び／又は記憶要素を同一の地理的位置に物理的に配置する必要はないということは、当業者にとっては明らかである。処理装置及び／又は記憶要素は地理的に離れた位置に配置し、互いに通信できるよう接続することができる。多様な通信技術を使用して、処理装置及び／又は記憶要素間の通信を行うことができる。かかる技術は、ネットワークの形式で、処理装置及び／又はストレージ要素の接続を含む。

本発明のシステム及び方法においては、ユーザが本発明を実施するために使用される処理装置又は装置とのインタフェースとすることができるよう、様々な「ユーザインタフェース」が利用される。ユーザインタフェースは、情報を伝達又は受信するためにユーザと相互作用する処理装置によって使用される。ユーザインタフェースは、ユーザが処理装置と相互作用することができる処理装置によって使用される、何れのハードウェア、ソフトウェア、ハードウェアとソフトウェアの組み合わせであってもよい。ユーザインタフェースは、ダイアログ画面の形式にすることができ、ユーザと処理装置との間の通信を可能にする様々な関連デバイスを含むことができる。ユーザインタフェースが、人間のユーザではなく他の処理装置と相互作用することも考えられる。さらにまた、ユーザインタフェースが、他の処理装置と部分的に相互作用しつつ、同時に人間のユーザとも部分的に相互作用するということも考えられる。

本発明の好適な実施形態が例示及び記載されたが、本発明がこれらの実施形態だけに限定されるものではないことは明らかである。特許請求の範囲に記載された本発明の趣旨及び範囲を逸脱せずに、多くの修正、変更、変形、代用、均等物が当業者にとって明らかである。

本発明のシステムに基づく実施形態が実施された相互ネットワーク環境の例を説明する説明図である。 本発明の実施形態に基づくフィルタリング手順を説明するフローチャートである。

符号の説明

１０２ ネットワークアクセスゲートウェイ
１０４ ＡＡＡサーバ
１０６ ネットワーク要素

Claims (45)

1. ネットワークのアクセスゲートウェイにおいてデータパケットをダイナミック・フィルタリングする方法であって、
   ａ．ネットワークにアクセスするための登録要求をネットワークノードに代わって受信し、
   ｂ．前記登録要求に返答し、
   ｃ．前記ネットワークノードに関連するデータパケットをフィルタリングする
   段階を含むことを特徴とする方法。
2. 前記ネットワークは、ホームネットワークである請求項１に記載の方法。
3. 前記ネットワークは、在外ネットワークである請求項１に記載の方法。
4. 登録要求に返答する前記段階は、前記ネットワークへのアクセスを許可することからなる、請求項１に記載の方法。
5. アクセスゲートウェイにおけるデータパケットをフィルタリングする前記段階は、在外ネットワークのパケットデータ・サービングノードにおいて前記フィルタリングを実行する段階を含む、請求項１に記載の方法。
6. アクセスゲートウェイにおけるデータパケットをフィルタリングする前記段階は、ホームネットワークのホームエージェントにおいて前記フィルタリングを実行する段階を含む、請求項１に記載の方法。
7. データパケットをフィルタリングする前記段階は、前記アクセスゲートウェイに固有の情報によって指示されている適切なセキュリティポリシーを適用する段階を含む、請求項１に記載の方法。
8. 請求項７に記載の方法において、適切なセキュリティポリシーを適用する前記段階は、
   ａ．前記アクセスゲートウェイにおいて維持される前記一連のポリシーから、前記ネットワークノードに対応する前記適切なポリシーを選択し、
   ｂ．前記アクセスゲートウェイにおいて維持されている前記適切なポリシーを前記ネットワークノードの通信に適用する
   段階を含むことを特徴とする方法。
9. 適切なポリシーを選択する前記段階は、前記ネットワークノードのドメイン名に基づいて選択することからなる、請求項１に記載の方法。
10. アクセスゲートウェイにおいて維持される前記一連のポリシーから前記適切なポリシーを選択する前記段階は、前記ネットワークにおけるネットワークノードのすべてに対して構成されている汎用セキュリティポリシーを構築することを含む、請求項１に記載の方法。
11. データパケットをフィルタリングする前記段階は、認証サーバ、認可サーバ、又は会計サーバから受信したメッセージにおいて指示されている適切なセキュリティポリシーを適用することからなる、請求項１に記載の方法。
12. データパケットをフィルタリングする前記段階は、前記アクセスゲートウェイにおいて維持されている適切なセキュリティポリシーを前記ネットワークノードの通信に適用する段階を含む、請求項１１に記載の方法。
13. 在外ネットワークのアクセスゲートウェイにおけるデータパケットのダイナミック・フィルタリング方法であって、
    ａ．ネットワークにアクセスするためのものであってネットワークノードを識別する識別子を有する登録要求をネットワークノードに代わって受信し、
    ｂ．前記登録要求に返答し、
    ｃ．前記アクセスゲートウェイにおいて前記ネットワークノードに関連するデータパケットをフィルタリングする
    段階を含むことを特徴とする方法。
14. 登録要求を受信する前記段階は、モバイルインターネットプロトコルにより前記ネットワークにアクセスするための登録要求を受信することを含む、請求項１３に記載の方法。
15. 登録要求に返答する前記段階は、前記ネットワークへのアクセスを許可することからなる、請求項１３に記載の方法。
16. 前記アクセスゲートウェイにおいてデータパケットをフィルタリングする前記段階は、前記在外ネットワークのパケットデータ・サービングノードにおいて前記フィルタリングを実行する段階を含む、請求項１３に記載の方法。
17. データパケットをフィルタリングする前記段階は、前記アクセスゲートウェイに固有の情報によって指示されている適切なセキュリティポリシーを適用する段階を含む、請求項１３に記載の方法。
18. 請求項１７に記載の方法において、適切なセキュリティポリシーを適用する前記段階は、
    ａ．アクセスゲートウェイにおいて維持される前記一連のポリシーから、前記ネットワークノードに対応する前記適切なポリシーを選択し、
    ｂ．前記アクセスゲートウェイにおいて維持されている前記適切なポリシーを前記ネットワークノードの通信に適用する
    段階を含むことを特徴とする方法。
19. 前記適切なポリシーを選択する前記段階は、前記ネットワークノードのドメイン名に基づいて選択することからなる、請求項１７に記載の方法。
20. アクセスゲートウェイにおいて維持される前記一連のポリシーから前記適切なポリシーを選択する前記段階は、前記ネットワークにおける全ネットワークノードに対して構成されている汎用セキュリティポリシーを構築することを含む、請求項１７に記載の方法。
21. データパケットをフィルタリングする前記段階は、認証サーバ、認可サーバ、又は会計サーバから受信したメッセージにおいて指示されている適切なセキュリティポリシーを適用することからなる、請求項１３に記載の方法。
22. データパケットをフィルタリングする前記段階は、前記アクセスゲートウェイにおいて維持されている適切なセキュリティポリシーを前記ネットワークノードの通信に適用する段階を含む、請求項２１に記載の方法。
23. ホームネットワークのアクセスゲートウェイにおけるデータパケットのダイナミック・フィルタリング方法であって、
    ａ．ネットワークにアクセスするためのものであってネットワークノードを識別する識別子を有する登録要求を、該ネットワークノードに代わって受信し、
    ｂ．前記登録要求に返答し、
    ｃ．前記アクセスゲートウェイにおける前記ネットワークノードに関連するデータパケットをフィルタリングする
    段階を含むことを特徴とする方法。
24. ネットワークノードのための登録要求を受信する前記段階は、モバイルデバイスから前記登録要求を受信することからなる、請求項２３に記載の方法。
25. 登録要求を受信する前記段階は、モバイルインターネットプロトコルにより前記ネットワークにアクセスするための登録要求を受信することからなる、請求項２３に記載の方法。
26. 登録要求に返答する前記段階は、前記ネットワークへのアクセスを許可することからなる、請求項２３に記載の方法。
27. アクセスゲートウェイにおけるデータパケットをフィルタリングする前記段階は、ホームネットワークのホームエージェントにおいて前記フィルタリングを実行することからなる、請求項２３に記載の方法。
28. データパケットをフィルタリングする前記段階は、前記アクセスゲートウェイに固有の情報によって指示されている適切なセキュリティポリシーを適用することからなる、請求項２３に記載の方法。
29. 請求項２８に記載の方法において、適切なセキュリティポリシーを適用する前記段階は、
    ａ．前記アクセスゲートウェイにおいて維持される前記一連のポリシーから、前記モバイルデバイスに対応する前記適切なポリシーを選択し、
    ｂ．前記アクセスゲートウェイにおいて維持されている前記適切なポリシーを前記モバイルデバイスの通信に適用する
    段階を含むことを特徴とする方法。
30. 前記適切なポリシーを選択する前記段階は、前記モバイルデバイスのドメイン名に基づいて選択することからなる、請求項２８に記載の方法。
31. アクセスゲートウェイにおいて維持される前記一連のポリシーから前記適切なポリシーを選択する前記段階は、前記ネットワークにおけるモバイルデバイスのすべてのために構成されている汎用セキュリティポリシーを構築することを含む、請求項２８に記載の方法。
32. データパケットをフィルタリングする前記段階は、認証サーバ、認可サーバ、又は会計サーバから受信したメッセージにおいて指示されている適切なセキュリティポリシーを適用することからなる、請求項２３に記載の方法。
33. データパケットをフィルタリングする前記段階は、前記アクセスゲートウェイにおいて維持されている適切なセキュリティポリシーを前記ネットワークノードの通信に適用することからなる、請求項３２に記載の方法。
34. ネットワークにおけるデータパケットのダイナミック・フィルタリングのためのシステムであって、
    ａ．ネットワークリソースにアクセスするためにネットワークノードによって作成された登録要求を受信し、該登録要求に応答してネットワークノードに返答を送信する、少なくとも１つのサーバと、
    ｂ．前記サーバに内蔵され、前記ネットワークノードに関連するデータパケットのフィルタリングを実行するためのアクセスゲートウェイと
    を含むことを特徴とするシステム。
35. 前記サーバは、ネットワークリソースと通信するために前記ネットワークノードに対して適切なセキュリティポリシーを提供するローカルポリシーサーバであることを特徴とする請求項３４に記載のシステム。
36. 前記ネットワークにおける前記サーバは、ネットワークリソースと通信するために前記ネットワークノードに対して適切なセキュリティポリシーを示し、認証サービス、認可サービス、及び会計サービスを提供するサーバであることを特徴とする請求項３４に記載のシステム。
37. 前記アクセスゲートウェイは、在外ネットワークにおけるパケットデータ・サービングノードであることを特徴とする請求項３４に記載のシステム。
38. 前記アクセスゲートウェイは、ホームネットワークにおけるホームエージェントであることを特徴とする請求項３４に記載のシステム。
39. ネットワークにおけるデータパケットのダイナミック・フィルタリングのためのシステムであって、
    ａ．登録要求に応答してネットワークノードに返答を送信する、前記ネットワークにアクセスするためにネットワークノードによって作成された登録要求を受信するための少なくとも１つのサーバと、
    ｂ．前記ネットワークノードに関連するデータパケットのフィルタリングを実行するための在外ネットワークにおけるパケットデータ・サービングノードと
    を含むシステム。
40. 前記サーバは、ネットワークリソースと通信するために前記ネットワークノードに対して適切なセキュリティポリシーを提供するローカルポリシーサーバであることを特徴とする請求項３９に記載のシステム。
41. 前記ネットワークにおける前記サーバは、ネットワークリソースと通信するために前記ネットワークノードに対して適切なセキュリティポリシーを示し、認証サービス、認可サービス、及び会計サービスを提供するサーバであることを特徴とする請求項３９に記載のシステム。
42. ネットワークにおけるデータパケットのダイナミック・フィルタリングのためのシステムであって、
    ａ．ネットワークにアクセスするためにネットワークノードによって作成された登録要求を受信し、該登録要求に応答してネットワークノードに返答を送信する、少なくとも１つのサーバと、
    ｂ．前記ネットワークノードに関連するデータパケットのフィルタリングを実行するためのホームネットワーク内のホームエージェントと
    を含むシステム。
43. 前記サーバは、ネットワークリソースと通信するために前記ネットワークノードに対して適切なセキュリティポリシーを提供するローカルポリシーサーバであることを特徴とする請求項４２に記載のシステム。
44. 前記ネットワークにおける前記サーバは、ネットワークリソースと通信するために前記ネットワークノードに対して適切なセキュリティポリシーを示し、認証サービス、認可サービス、及び会計サービスを提供するサーバであることを特徴とする請求項４２に記載のシステム。
45. 通信ネットワークのアクセスゲートウェイにおいてデータパケットをダイナミック・フィルタリングするための、コンピュータと共に使用するコンピュータプログラム製品であって、
    ａ．ネットワークにアクセスするためのものであってネットワークノードの位置を識別する識別子を有する登録要求を、該ネットワークノードに代わって受信し、
    ｂ．前記登録要求に返答し、
    ｃ．フィルタリングの位置を前記識別子に基づいて判断して、前記ネットワークノードに関連するデータパケットをフィルタリングする
    段階を実行するコンピュータプログラム製品。

Images