JP2011505761A - 暗号化されたパケットストリームおよびトンネリングされるパケットストリームのフロー分類 - Google Patents

Abstract

様々な通信ネットワークサブシステムによって要求される特殊な処理（例えば、ＱＯＳ、セキュリティ、トンネリングなど）の問題を解決する方法およびシステム。幾つかの場合に、ある通信サブシステムによる処理が、上記パケットの追加処理の適用に影響する可能性がある変更されたＩＰデータパケットをもたらす場合がある。本方法およびシステムは、全てのエンドノードおよび中間ノードが変更されたパケットに対して要求された処理を行えるようにするために、ユースケースに基づいて、フィルタを変換し、追加のトンネルまたは他の手順をセットアップすることによって、問題を解決する。本方法およびシステムは、複数の異なるタイプのパケットフィルタのオーバーラップまたは交差を考慮に入れることが出来る。パケットフィルタの第１のセットは、変更されたパケットについて所望のパケット分類を提供するように変換される。パケットフィルタの第２のセットを、パケットフィルタの第１のセットに適用される変換に基づいて変換することが出来る。

Description

関連出願
本願は、２００７年１１月２９日に出願した米国仮出願第６０／９９１，０８７号に対する優先権の利益を主張し、その内容全体が参照によって本明細書に組み込まれている。

本発明は、一般的にはコンピュータネットワーク通信に関し、より具体的には、フロー分類（flow classification）およびアプリケーションまたはネットワーク管理者のいずれかによってインストールされるフィルタを変換する方法に関する。

フロー分類とは、ネットワークデータパケットをフローと呼ばれる様々な論理ストリームに分類するプロセスである。データパケットがインターネットプロトコル（ＩＰ）トラフィックにおいて移送される時に、そのデータパケットは、そのデータパケットに対して実行される特定の処理を必要とする場合がある。この特定の処理は、そのデータパケットを送信するか受信するアプリケーションによって、またはそのデータパケットがそれを通して移動する通信経路によって規定され得る。フロー分類は、典型的には、あるパラメータに基づいてパケットをフィルタリングすることによって実行される。例えば、雑音および干渉が通信経路中のリンクで発生し得るワイヤレス通信セッティングにおいては、ある種のアプリケーションは、最小サービス品質（ＱＯＳ）が通信伝送全体を通じて維持されることを要求することが出来る。従って、最小ＱＯＳの維持を必要とするデータパケットを認識し、最小ＱＯＳが満足されることを保証する通信経路中の信頼出来るチャネルに沿ってそれらのデータパケットをルーティングするために、通信経路に沿ったルータ中でフィルタを実施することが出来る。

ＴＣＰ／ＩＰネットワーク通信においては、パケットフィルタリングは、典型的に、ソースＩＰアドレスおよび／または宛先ＩＰアドレス、ソースポート番号および／または宛先ポート番号、プロトコル／次ヘッダフィールド、その他などのような、ＴＣＰ／ＵＤＰ／ＩＰヘッダ中の様々なパラメータを使用して実行される。ＩＰデータパケットトラフィック上で実行される特定の処理を、データパケットのルーティングに限定する必要はない。フィルタリングを、リアルタイムトランスポートプロトコル（Real-Time Transport Protocol、ＲＴＰ）ヘッダまたはセッションイニシエーションプロトコル（Session Initiation Protocol、ＳＩＰ）ヘッダからのような上位レイヤプロトコルヘッダパラメータを使用して実行することも出来る。フィルタによって対処されるパラメータを、アプリケーションレイヤヘッダまたはアプリケーションペイロード本体の一部とすることも出来る。

分類の基本概念は、ＩＰパケットの特殊なハンドリングを可能にするために、ある種の特性（フィルタリングパラメータによって定義される）に基づいてＩＰパケットのストリーム内の、ＩＰパケットなどのようなデータパケットを差異化することである。ストリーム（本明細書ではフローと称する）中へのパケットの分類は、ファイヤウォール、ＱＯＳ、セキュリティ、ヘッダ圧縮、請求、ロギング、などのような、ネットワーク内の各フロー中のパケットに対する様々な選択的扱いを提供するのに使用することが出来る。

エンドツーエンド通信リンクが確立される時に、全てのトラフィックは、デフォルトＱＯＳを使用して扱われ、アプリケーションが特殊な処理を要求する場合には、そのアプリケーションは、そのリンク中の適切なノードまたはルータにそのアプリケーションフィルタを指定することによってＱＯＳ処理を要求する。特定のアプリケーションが、通信リンクを通して移送されつつある、ある種のＩＰパケットのハンドリングおよび特定の処理を規定することが出来る追加フィルタの展開を必要とする場合がある。フィルタ間の衝突は、アプリケーションがＱＯＳ処理を要求する場合にルータに展開された先在するセキュリティフィルタがある時に発生する可能性があり、この場合には、セキュリティフィルタおよびＱＯＳフィルタが、互いに交差するか衝突する可能性がある。

幾つかの場合に、エンドノードまたは中間ルータが、トンネリングを実行するため、セキュリティ対策を適用するため、などのようなＩＰデータパケットに対する追加処理を要求する場合がある。そのような状況で、ＩＰデータパケットに対する処理は、オリジナルフィルタがこれらのパケットを正しく認識出来ないようにするために、フィルタリングを可能にするのに使用される様々なパラメータを移動し、変更し、または暗号化することが出来る。これは、ＩＰトラフィックヘッダ中のパラメータが、暗号化されるかその典型的なオフセット位置から移動される時に発生し得る。そのような実例を、この説明においては変更されたパケットと称する。例えば、インターネットプロトコルセキュリティ（Internet Protocol Security、ＩＰＳｅｃ）が、暗号化を用いるカプセル化セキュリティペイロード（Encapsulating Security Payload、ＥＳＰ）プロトコルを使用して実施される時に、トランスポートヘッダおよび上位ヘッダが暗号化される場合がある。その結果、ポート番号またはＲＴＰのような他の上位レイヤヘッダに基づくフィルタリングを、正しく実行することが出来ない。

別の例として、ＩＰトンネリング通信機構が使用される時に、ＩＰトンネリングプロセスは、ＩＰデータパケットを１つまたはそれより多くのＩＰレイヤヘッダまたは上位レイヤヘッダにカプセル化する。その結果、典型的なフィルタリング手順で作用されるパラメータが、その典型的な位置から位置をずらされる（即ち、オフセットされる）。その結果、これらのパラメータに基づくフィルタリングを、正しく実行することが出来ない。従来のフィルタリング動作に対する問題を生じる一般的に発生するＩＰトンネリングシナリオの例は、Ｍｏｂｉｌｅ ＩＰ、ＩＰｖ４−ＩＰｖ６インターワーキング、およびＩＰＳｅｃを含む。

様々な実施形態は、パケット処理がＩＰデータパケットを変更する時にＩＰデータパケットの意図された分類を達成出来るようにするために、ＩＰデータパケットフィルタを変換する方法を提供する。幾つかのシナリオでは、フィルタ変更は、さらに、全てのＱＯＳ要件を満足するために追加のトンネルをセットアップすることを含む。ある実施形態では、ＩＰデータパケットが２つの異なるＩＰデータパケットフィルタにかけられ、ＩＰデータパケットが変更される可能性がある時に、ＩＰデータパケットフィルタが変換される。別の実施形態では、ＩＰデータパケットが第１のＩＰデータパケットフィルタにかけられるが、ＩＰデータパケットの一部だけが第２のＩＰデータパケットフィルタにかけられ、ＩＰデータパケットが変更される可能性がある時に、ＩＰデータパケットフィルタが変換される。第１および第２のＩＰデータパケットフィルタの各々にかけられるＩＰデータパケットの部分は、変化する可能性がある。

様々な実施形態は、エンドツーエンド通信リンク中の異なるノードまたはレイヤにある様々なサブシステムによって要求される特殊な処理（例えば、ＱＯＳ、セキュリティ、トンネリングなど）の問題を解決する方法を提供する。幾つかのケースにおいて、あるサブシステムまたはあるノードによる処理が、追加処理の適用に影響する可能性がある変更されたＩＰデータパケットをもたらす場合がある。この問題を解決するために、様々な方法は、全てのサブシステムおよび中間ノードが変更されたＩＰデータパケットに対して要求された処理を行えるようにするために、ユースケースに基づいて、必要に応じてフィルタを変換する。幾つかのケースにおいて、フィルタ変換だけでは、同一のフロー分類を提供しない場合があり、その場合には、特定のレイヤ／ノード中のＩＰパケット変更の後に同一のフロー分類を達成するための追加トンネルの確立のように、追加の制御手順をも実施することが出来る。

本明細書に組み込まれ、本明細書の一部を構成する添付図面は、本発明の例示的実施形態を例解する。上で与えた一般的説明および下で与える詳細な説明と一緒に、図面は、本発明の特徴を説明するように働く。
図１Ａは、ＱＯＳ要件およびＩＰＳｅｃ暗号化の対象であるＩＰ通信を含む様々な通信ネットワークトポロジシナリオのうちの１つを例解する。 図１Ｂは、ＱＯＳ要件およびＩＰＳｅｃ暗号化の対象であるＩＰ通信を含む様々な通信ネットワークトポロジシナリオのうちの１つを例解する。 図１Ｃは、ＱＯＳ要件およびＩＰＳｅｃ暗号化の対象であるＩＰ通信を含む様々な通信ネットワークトポロジシナリオのうちの１つを例解する。 図１Ｄは、ＱＯＳ要件およびＩＰＳｅｃ暗号化の対象であるＩＰ通信を含む様々な通信ネットワークトポロジシナリオのうちの１つを例解する。 図１Ｅは、ＱＯＳ要件およびＩＰＳｅｃ暗号化の対象であるＩＰ通信を含む様々な通信ネットワークトポロジシナリオのうちの１つを例解する。 図２Ａは、図１Ａ〜１Ｅ中で例解されたネットワークトポロジシナリオに対する適切なフィルタ変更を例解する図である。 図２Ｂは、図１Ａ〜１Ｅ中で例解されたネットワークトポロジシナリオに対する適切なフィルタ変更を例解する図である。 図２Ｃは、図１Ａ〜１Ｅ中で例解されたネットワークトポロジシナリオに対する適切なフィルタ変更を例解する図である。 図２Ｄは、図１Ａ〜１Ｅ中で例解されたネットワークトポロジシナリオに適切なフィルタ変更を例解する図である。 図２Ｅは、図１Ａ〜１Ｅ中で例解されたネットワークトポロジシナリオに対する適切なフィルタ変更を例解する図である。 図３は、通信サービスによるＩＰデータパケット変更に起因する問題を解決する実施形態方法のプロセス流れ図である。 図４は、様々なネットワークトポロジシナリオで実施出来るＩＰデータパケットフィルタを変換するために実施出来る実施形態方法のプロセス流れ図である。 図５は、様々なネットワークトポロジシナリオで実施出来るＩＰデータパケットフィルタを変換するために実施出来る実施形態方法のプロセス流れ図である。 図６は、様々なネットワークトポロジシナリオで実施出来るＩＰデータパケットフィルタを変換するために実施出来る実施形態方法のプロセス流れ図である。 図７は、様々なネットワークトポロジシナリオで実施出来るＩＰデータパケットフィルタを変換するために実施出来る実施形態方法のプロセス流れ図である。 図８は、様々なネットワークトポロジシナリオで実施出来るＩＰデータパケットフィルタを変換するために実施出来る実施形態方法のプロセス流れ図である。 図９は、様々な実施形態を実施するのに適する移動体デバイスのコンポーネントブロック図である。 図１０は、様々な実施形態を実施するのに適するコンピュータを示すコンポーネントブロック図である。

詳細な説明

様々な実施形態を、添付図面を参照して詳細に説明する。可能な限り、同一の符号を、同一のまたは同様の部分を参照するために複数の図面を通じて使用する。特定の例および実施態様に対して行われる言及は、例示のためであって、本発明または請求項の範囲を限定することは意図されてはいない。

本明細書で使用される時に、用語「コンピュータ」、「コンピューティングデバイス」、または「移動体デバイス」は、パーソナルコンピュータ、ノートブックコンピュータ、セルラ電話機、パーソナルデジタルアシスタント（ＰＤＡ）、パームトップコンピュータ、ワイヤレス電子メール受信機およびセルラ電話受信機（例えば、Ｂｌａｃｋｂｅｒｒｙ（登録商標）デバイスおよびＴｒｅｏ（登録商標）デバイス）、マルチメディアインターネット対応セルラ電話機（例えば、ｉＰｈｏｎｅ（登録商標））、ならびに、プログラマブルプロセッサ、メモリを含み、データネットワークを介して通信出来る類似するパーソナル電子デバイスのうちのいずれか１つまたは全てを指す。

この記述では、用語「例示的」は、本明細書では、「例、実例、または例解として働く」を意味するのに使用される。本明細書で「例示的」として説明される全ての実施態様を、必ずしも、他の実施態様より好ましいまたは有利と解釈してはならない。

エンドツーエンド通信リンクが確立される時に、全てのトラフィックは、デフォルトＱＯＳを使用して扱われる。エンドポイントデバイス／端末で動作するアプリケーションが、そのアプリケーションによって利用されるＩＰデータパケットの特殊なハンドリングを要求する時に、そのアプリケーションに関連付けられたＩＰデータパケットのハンドリングおよびルーティングを指示するために、適当なフィルタを通信リンク中のルータ／ゲートウェイに展開することが出来る。幾つかのケースにおいて、ＩＰデータパケットは、複数のフィルタによる分類を必要とする。しかし、ＩＰデータパケットが、通信処理中（例えば、トンネルルーティングのためにパケットが暗号化されるかパッケージ化される時）に変更される場合があるので、デフォルトフィルタまたは標準フィルタが、変更されたＩＰデータパケットを認識出来ない場合があり、従って、その意図されたパケット分類機能を実行出来ない場合がある。

ＩＰパケットフィルタリングの例は、最小ＱＯＳ要件があるパケットを信頼出来る通信リンクを通してルーティング出来るように、これらのパケットを認識するように意図されたフィルタである（参照を簡単にするために、ＱＯＳフィルタは、図面および本明細書の式では「Ｑ」として識別される）。そのようなフィルタは、様々なリンクが異なる信号品質を有するワイヤレス通信リンクを含む通信ネットワーク中で特に有用である。エンドツーエンド通信リンクがワイヤレスデバイス／端末を含む時に、サービス品質（ＱＯＳ）フィルタを、ＱＯＳが提供されるネットワーク経路に沿った全てのルータに展開することが出来、その結果、各ルータは、順方向リンク上で所望の扱いを提供するために最小ＱＯＳ要件を満足する特定の有線またはワイヤレスのリンクを正しく分類し、それを通してＩＰデータパケットを向けることが出来るようになる。幾つかの実施態様またはネットワーク構成では、ＱＯＳハンドリングは、ワイヤレスリンクでのみ発生する場合があり、この場合には、ＱＯＳフィルタを、ワイヤレスエンドポイントとして働く１つまたはそれより多くのルータだけに展開することが出来る。また、幾つかの実施態様では、ＱＯＳハンドリングを中間リンク内で（例えば、ワイヤレス通信リンクが２つの有線ネットワークの間の接続を提供する時）適用することが出来、従って、ＱＯＳフィルタは、ネットワーク経路のエンドポイント上のノードに限定されない。ＱＯＳまたは他のタイプのフィルタを、ネットワーク経路内の全てのルータに、またはネットワーク経路のエンドポイント上のノードだけに展開することが出来る。

例として、移動体デバイスは、インターネットからストリーミングビデオをも受信しつつある間にＳＭＳテキストメッセージを送信し、受信することが出来る。ＳＭＳテキストメッセージングアプリケーションに関連付けられたＩＰデータパケットは、メッセージ全体が正しく受信されるまでパケットを再送することが出来るので、高いＱＯＳを必要としない。しかし、ストリーミングされるビデオアプリケーションに関連付けられたＩＰデータパケットは、パケットが正確に受信されることを保証するために高ＱＯＳ通信を必要とする。適当なエアリンクを通して移動体デバイス（またはネットワーク経路内の他のリンク）にＳＭＳメッセージパケットおよびストリーミングビデオパケットをルーティングするために、適当なルータに展開されたＱＯＳフィルタは、ワイヤレスデバイスに送信されつつあるＩＰデータパケットを、ＱＯＳルーティングを必要とするまたは必要としないのいずれかとして分類することが出来る。これを行うために、ＱＯＳフィルタは、パケットがＱＯＳルーティングを必要とするかどうかを決定するために、ＩＰデータパケットヘッダ内のビットの特定のセットをサンプリングすることが出来る。ＱＯＳルーティングを必要とするものとして分類されるＩＰデータパケット（即ち、この例ではビデオパケット）を、高ＱＯＳ通信リンクを介してルーティングされるパケットフローにルーティングすることが出来、他のＩＰデータパケット（即ち、この例ではＳＭＳメッセージパケット）を、別の通信リンクを通してルーティングすることが出来る。

エンドツーエンドＱＯＳルーティングを提供するためにＱＯＳパケットを正しくルーティングする代替の方法は、データパケットのＩＰヘッダ中でＤｉｆｆｅｒｅｎｔｉａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｃｏｄｅ Ｐｏｉｎｔ（ＤＳＣＰ）マーキングを使用することを含む。この方式では、特殊な整数値が、各フロータイプに割り当てられ、ＩＰｖ４ヘッダのＴＯＳフィールドまたはＩＰｖ６ヘッダのＦｌｏｗ ｌａｂｅｌフィールドに含まれる。これらの値は、経路に沿った全てのルータがアクセス可能な最も外のＩＰヘッダ中でマークされる。パケットが変更され、ヘッダが暗号化されるか、追加のヘッダが前に付加される場合に、パケットを変更する全てのルータは、付加される最も外のＩＰヘッダにＤＳＣＰマーキングをコピーしなければならず、これによってＤＳＣＰマーキング値をネットワーク経路に沿った諸点のルータから可視にしなければならない。ＤＳＣＰマーキングは、ネットワーク経路に沿った各ルータに、パケットをどのように扱い、任意の所望のＱＯＳハンドリングをどのように提供すべきかを示す。様々なＤＳＣＰ値のセマンティクスは、各サービスプロバイダ／ネットワーク管理者によって定義される。この方法は、ネットワーク経路に沿った全てのルータがＤＳＣＰ値の意図されたセマンティクスを理解する場合に限って有効である。この方法では、最初のホップ（即ち、起点ノードまたは起点ルータ）だけが、ＱＯＳに関するパケット分類を実行する必要がある。というのは、ネットワーク経路に沿った他の全てのルータが、ＤＳＣＰ値だけに頼ることが出来るからである。

ＩＰデータ通信で使用される別の一般的なフィルタは、暗号化されたＩＰデータパケットを分類する。暗号化されたＩＰデータパケットは、これらが復号されるエンドポイントにこれらをルーティングするような、特殊な処理を必要とする。従って、セキュリティフィルタを、ＩＰデータパケットの一部または全てがある点で暗号化される通信リンク内に展開することが出来る（参照を簡単にするために、セキュリティフィルタは、図面および本明細書の式では「Ｓ」として識別される）。

そのようなＩＰデータパケットフィルタリングは、上の例では良好に働くが、衝突する通信要件が同一の通信リンクに課せられる時に、問題が生じる場合がある。そのような問題の特定の例は、リンクの一部がＱＯＳ要件およびセキュリティ対策（例えば、ＩＰＳｅｃ）の対象になる通信リンクを含む。そのようなシナリオは、ユーザが取扱注意データを送信し、受信することを可能にするためにＩＰデータパケットを暗号化することによって、ワイヤレスデバイスがセキュアに通信するように構成される時に発生し、様々なセキュリティ対策が望まれる可能性がある。例えば、エンドツーエンド通信接続を、仮想プライベートネットワーク（ＶＰＮ）機能を提供するために移動体デバイスとワークサーバとの間で確立することが出来る。ユーザは、取扱注意の情報を送信し、受信するのに、そのような暗号化された通信接続を利用することが出来る。ほとんどの場合に、ＩＰデータパケットの暗号化は、パケット全体を暗号化することと、暗号化された結果を、変更されたヘッダ（即ち、オリジナルＩＰデータパケットのパケットヘッダとは異なるパケットヘッダ）を有する別のＩＰデータパケット内に含めることとを含む。その結果、オリジナル（即ち、暗号化されていない）パケット中のパラメータは、分類フィルタからアクセス可能ではなくなる可能性があり、新しいパケットヘッダに含まれるパラメータは、異なるオフセット位置にある可能性が高い。フィルタリングパラメータがアクセス不能または典型的なオフセット位置から移動された状態では、中間ルータ中のＱＯＳフィルタのような分類フィルタが、ＩＰデータパケットを所望のフローに分類出来ない場合がある。

様々な実施形態は、ＩＰデータパケットが変更の対象になる様々なシナリオに対処するためにフィルタを変換する標準的な機構を提供することによって、これらの問題を克服する。変換されたフィルタは、パケットヘッダ変更に対処することによって、ＩＰデータパケットを正しく分類することが出来る。次に、変換されたフィルタを、特定の通信セッションの通信経路に沿った様々なルータ／ゲートウェイに展開することが出来る。この形で、通信リンク中のネットワークノードは、パケットヘッダが変更されている時であっても、ＩＰデータパケットを正しく分類し、ルーティングすることが出来る。従って、例えば、ＩＰデータパケットが、ＩＰトンネリングまたは暗号化を使用して送信される場合に、特定のアプリケーションによる使用を意図されたまたはＱＯＳルーティングを必要とするＩＰデータパケットを、変換されたフィルタによって正しいフローに分類することが出来る。様々な実施形態を、本明細書ではＩＰデータパケットおよびＩＰベースのネットワークに関して述べるが、実施形態を、他のタイプのネットワークまたはプロトコルに拡張することが出来る。様々な実施形態は、エンドツーエンド通信リンク中の異なるノードまたは異なるレイヤにある様々なサブシステムによって要求される特殊な処理（例えば、ＱＯＳ、セキュリティ、トンネリングなど）の問題を解決する方法を提供する。幾つかのケースにおいて、１つのサブシステムまたは１つのノードによる処理が、追加処理の適用に影響する可能性がある、変更されたＩＰデータパケットをもたらす場合がある。この問題を解決するために、様々な方法は、全てのサブシステムおよび中間ノードが変更されたＩＰデータパケットに対して必要な処理を行えるようにするために、ユースケースに基づいて、必要に応じてフィルタを変換し、追加のトンネルまたは他の制御手順をセットアップする。

トラフィックフロー方向は、変換されたフィルタの正しい展開を決定するために別々に考慮されなければならない。ほとんどの場合に、移動体デバイスからネットワークへのアップリンク即ち逆方向リンクトラフィックは、移動体デバイス中で発する。移動体デバイスは、ＩＰＳｅｃドライバ、移動体ＩＰスタック、または類似する後続の変更によってＩＰデータパケットが変更される前に、ＩＰデータパケットを分類するためにフィルタを適用することが出来る。しかし、ネットワークから移動体デバイスへ流れる順方向／ダウンリンクＩＰデータパケットについて、フィルタリングまたはパケット分類は、ＩＰデータパケット変更と同一のノードで発生しない場合がある。例えば、パケットのＩＰＳｅｃ暗号化が通信リンクの最遠端部で実行され、ＱＯＳ分類がワイヤレスゲートウェイ（即ち、ＩＰデータパケットがワイヤレスデータリンクを介して移動体デバイスにルーティングされる場所）で実行される場合がある。従って、ほとんどのシナリオで、フィルタ変換は、順方向／ダウンリンクＩＰデータパケットについて必要とされる。

例として、図１Ａ〜１Ｅに、ＱＯＳフローがＩＰＳｅｃ暗号化フローと衝突し、かつ／または交差する可能性があるネットワークトポロジ中の様々なシナリオを示す。

図１Ａに示されたネットワークトポロジでは、エンドツーエンド通信リンクが、ワイヤレスデバイス／端末１０１とピアデバイス／端末１２０との間で確立されている。通信経路は、それぞれデータネットワークまたはインターネット１１０へのゲートウェイとして働く、ルータ１ １０５およびルータ２ １１５を含む。データネットワークおよびインターネット１１０は、パケットヘッダに含まれる情報に従ってデータパケットを中継することによって単に通信リンクを完成させる複数の追加のルータおよびノードを含む場合がある。これらのノードのそれぞれは、単に経由点（via point）として働くので、これらのノードは、セット的にデータネットワークまたはインターネット１１０と称することが出来る。図１Ａに示されたシナリオでは、順方向／ダウンリンク上で、ピアデバイス／端末１２０は、ＱＯＳ要件の対象ではないデータリンクを介してルータ２ １１５にＩＰデータパケットを送信する。このシナリオでは、ルータ２ １１５は、ＩＰＳｅｃドライバを使用してＩＰデータパケットを暗号化するセキュリティエンドポイント（Ｓｅｃ ＥＰ）として動作する。次に、暗号化されたＩＰデータパケットを、保護されないデータネットワークまたはインターネット１１０を通してルータ１ １０５に送信することが出来る。ルータ１ １０５は、ワイヤレスデバイス／端末１０１へのワイヤレス通信リンクを通して伝送のためにＩＰデータパケットを準備するＱＯＳエンドポイント（ＱＯＳ ＥＰ）として動作する。ワイヤレスデバイス／端末１０１へのＩＰデータパケットの伝送は、ワイヤレス通信リンクを通して発生するので、パケットがＩＰデータパケットの正確な受信を保証するのに十分な信号品質を有するか適当なデータ伝送速度の伝送経路を介して送信されることを保証するために、ＱＯＳフローを確立しなければならない。従って、ＱＯＳフィルタをルータ１ １０５に展開することが出来る。ルータ１ １０５は、暗号化されたＩＰデータパケットをルータ２ １１５から受信するので、展開されたＱＯＳフィルタは、暗号化によって変更されている、暗号化されたＩＰデータパケット上で正しく操作しない可能性が高い。その結果、オリジナルＱＯＳフィルタは、変更されたＩＰデータパケットをルータ１ １０５で分類し、必要なＱＯＳを提供することが出来ない。従って、移動体デバイスは、ＱＯＳフィルタを変換し、変換されたフィルタを、ワイヤレスリンクに関するＱＯＳサポートを提供するルータ１ １０５にインストールしなければならない。

しかし、逆方向／アップリンクでは、ワイヤレスデバイス／端末１０１がＩＰデータパケットの暗号化とＱＯＳ要件賦課との両方を行うので、フィルタ変換は不要である。従って、ワイヤレスデバイス／端末１０１は、データパケットを暗号化する前にＱＯＳフィルタを使用してＱＯＳ分類を実行することが出来る。従って、パケット変更およびＱＯＳ分類は、通信リンクの同一ノード中で発生する。その結果、ルータ１ １０５は、この例のネットワーク経路中では特定のＱＯＳがルータ１を超えてＩＰパケットに提供されないので、逆方向／アップリンクでのさらなる変換の必要なしに、セキュリティフィルタだけを使用して、受信したＩＰデータパケットを処理することが出来る。

図１Ｂに、ＩＰデータパケットが、保護されたワイヤレスデータリンクを通して送信され、その後、ルータ２ １１５まで延びるＱＯＳルーティングを伴うデータネットワークまたはインターネット１１０を通して暗号化されずに伝送される、第２のシナリオネットワークトポロジを示す。従って、セキュリティ暗号化は、ＩＰデータパケットがルータ１ １０５とワイヤレスデバイス／端末１０１との間のワイヤレス通信リンクを通して伝送されるまで、順方向／ダウンリンク上では実施されない。このシナリオでは、順方向／ダウンリンク上のルータ１ １０５は、ＩＰデータパケットがワイヤレス通信リンクを通して伝送される前に必要な暗号化を適用するセキュリティエンドポイントとして動作する。従って、順方向／ダウンリンク経路では、ＩＰデータパケットは、ルータ１ １０５によって受信され、ワイヤレス通信リンクを通して伝送されるまで、変更されない。その結果、フィルタ変換は、ネットワーク経路に沿ってＱＯＳを提供する全てのルータで、順方向／ダウンリンク上では不要である。その一方で、ルータ１は、この例のネットワーク経路中のＱＯＳフィルタ変換を避けるために、データパケットを変更／暗号化する前に、ＱＯＳフィルタを使用してＱＯＳ分類を実行する。ルータ２ １１５に展開されたオリジナルフィルタは、変更されていないＩＰデータパケットを受信し、従って、必要なＱＯＳフローを提供するためにパケットを正しく分類することが出来る。

この第２のシナリオでは、ワイヤレスデバイス／端末１０１がＩＰデータパケットの暗号化と、これによる変更との両方を行うが、ＱＯＳ要件についてＩＰデータパケットを分類もするので、フィルタ変換は、逆方向／アップリンク経路上では不要である。従って、パケット変更およびＱＯＳ分類は、通信リンクの同一ノード中で発生する。ルータ１０５は、ルータ１を超えてパケットが変更されずに伝送されるようにするために、変更されたパケットをオリジナルパケット構成に復元し、従って、アップリンク経路に沿ってＱＯＳフィルタを変換する必要はない。その結果、フィルタ変換および展開は、この例のネットワーク経路中の逆方向／アップリンクについて不要である。

図１Ｃは、ＩＰデータパケットが、保護されたワイヤレスデータリンクを通してワイヤレスデバイス／端末１０１ヘ／から送信され、その後、ルータ２を使用せずに、暗号化されずにデータネットワークまたはインターネット１１０を通してピアデバイス／端末１２０に伝送される、第３のシナリオネットワークトポロジを例解する。このシナリオでは、順方向／ダウンリンク経路上で、ＩＰデータパケット暗号化およびＱＯＳ分類が、同一ノード即ちルータ１ １０５で発生する。従って、順方向／ダウンリンクに対し、フィルタ変換は不要である。同様に、ワイヤレスデバイス／端末１０１が、ＩＰデータパケットの暗号化（これによって、パケットヘッダを変更する）とＱＯＳ要件に関するＩＰデータパケットの分類との両方を行うので、逆方向／アップリンク経路上でフィルタ変換は不要である。従って、パケット変更およびＱＯＳ分類は、通信リンクの同一ノード中で発生する。

図１Ｄは、暗号化／復号がルータ（ルータ１ １０５およびルータ２ １１５）で発生するが、ＱＯＳパケットルーティングがワイヤレスデバイス／端末１０１からピア／デバイス端末１２０まで延びる、第４のシナリオネットワークトポロジを例解する。このシナリオでは、ＩＰデータパケット変更は、パケットが暗号化される時にルータ１０５と１１５との両方で発生する。ＩＰデータパケットは、ルータ１０５および１１５で暗号化され、復号されるので、端末デバイス１０１および１２０は、トラブルなしにＱＯＳ分類を実行することが出来る。というのは、端末デバイス１０１および１２０によって送信され、受信されるＩＰデータパケットが、変更されないからである。しかし、ルータ１とルータ２との間の経路に沿った他のルータは、変更されたパケットだけを受信するので、変換されたＱＯＳフィルタを必要とする。

図１Ｅは、ＩＰＳｅｃトンネルが、デバイス１０１とルータ２ １１５との間で確立され、ＱＯＳルーティングが、エンドツーエンドで即ち、ワイヤレスデバイス／端末１０１とピア／デバイス端末１２０との間で提供される、第５シナリオネットワークトポロジを示す。順方向／ダウンリンク経路上で、ＩＰデータパケットは、セキュリティ暗号化をもたらすために、ルータ２ １１５中で変更される。ルータ２は、順方向／ダウンリンク中でピア／デバイス端末１２０から変更されないＩＰデータパケットを受信するので、ルータ２ １１５は、必要なＱＯＳフローを作るためにＱＯＳ分類を実行することが出来る。従って、ＩＰデータパケット変更およびＱＯＳ分類は、同一ノード（ルータ２ １１５）中で発生する。その後、順方向リンク経路に沿った他のルータは、変更されたＩＰパケットだけを受信するので、これらのルータ中でも、フィルタ変換が必要である可能性がある。デバイス／端末１０１は、ＩＰデータパケットの暗号化（およびそれによる変更）とＱＯＳ要件に関するＩＰデータパケットの分類との両方を行うので、フィルタ変換は、ワイヤレスデバイス１０１上で逆方向／アップリンク経路については不要である。しかし、逆方向リンク経路に沿った他のルータは、変更されたＩＰパケットを受信するので、これらのルータについてはフィルタ変換が必要である可能性がある。その一方で、ルータ２は、ＩＰパケットをオリジナルの形に復元し、逆方向／アップリンクデータ経路については変換されないＱＯＳフィルタだけを使用することが出来る。

上のシナリオは、ＱＯＳ ｏｖｅｒ Ｍｏｂｉｌｅ ＩＰなどの上で説明した他のユースケースにも適用することが出来る。やはり、第１のシナリオ（図１Ａ）は、Ｍｏｂｉｌｅ ＩＰトンネルが第１のホップルータの背後にあるホームエージェント（ＨＡ）で終わるので、Ｍｏｂｉｌｅ ＩＰについて最も一般的である。典型的な例は、ＣＤＭＡネットワーク中のＰａｃｋｅｔ Ｄａｔａ Ｓｅｒｖｉｃｉｎｇ Ｎｏｄｅ（ＰＤＳＮ）である。ＱＯＳ通信ルーティングは、典型的に、移動体デバイスとＰＤＳＮとの間で達成され、一方ＩＰトンネルは、移動体デバイスとＨＡとの間で達成される。

図１Ａ〜１Ｅに示されたシナリオに例解されたネットワーク経路は、フィルタ衝突が生じる可能性がある、全てではなく幾つかの可能なネットワーク構成を示すことを意図されたものである。他のネットワーク経路構成で生じるフィルタ衝突は、そのような構成が図１Ａ〜１Ｅに示された例に含まれないが、本明細書で説明する様々な方法およびシステムを使用して対処することが出来る。

ＩＰデータフィルタの処理が１つまたはそれより多くの展開されたパケットフィルタを無効にする（典型的には、ヘッダ中のフィルタリングパラメータ（１つまたは複数）が移動されるか暗号化されるので）状況は、ＩＰデータパケットを変更しようとし、ＱＯＳ処理をも提供しようとするノード（エンドデバイスまたはルータ）によって決定することが出来る。そのノードは、パケット処理状態を論理テーブルまたは決定木と比較することによるなど、２タイプのパケット処理が実施されることを認識することによって、フィルタで衝突があることを決定することが出来る。ノードが、フィルタ衝突が発生すると決定する時に、そのノードは、変換されたフィルタを生成し、変換されたフィルタをネットワーク経路に沿った全てのルータに伝搬させるという適切なアクションを実施することによって応答することが出来る。あるパケットがＱＯＳ分類を必要とし、変更の対象でもある（例えば、ＩＰＳｅｃ、トンネリングなどに起因して）ことを検出する最初のノードが、このアクションを行わなければならない。この決定は、１つのノード内に局所化されているので実施態様依存であり、そのノードは、この決定を行うのに必要な情報の全てを有して構成される。そしてそのようなノードは、フィルタ変換を実行し、変換されたフィルタをネットワーク経路に沿ってはるばる関連ルータまで送信する。フィルタ変換が、最初のＱＯＳのオリジネータではないルータで発生する場合に（図１Ｄを参照されたい）、そのルータは、それでも、変換されたフィルタをルータの適切なセットに伝搬させなければならない。

ＱＯＳフィルタは、ＱＯＳリクエスタノードによって、ネットワーク経路に沿ってＱＯＳが提供される点までの全てのルータに展開することが出来る。ＱＯＳが、アップリンクとダウンリンクとの両方について同一のノードによって要求される可能性があり、あるいは、各エンドノードが、それぞれ１つの方向についてＱＯＳを要求するかその組合せを要求する可能性がある。フィルタを変換するノードは、ＱＯＳが提供される点または変換エンドポイントに出会う時のいずれかが、ネットワーク経路中で先に現れるまで、経路に沿って全てのルータに変換されたフィルタを送信する。変換エンドポイントは、そのノードがオリジナルフィルタ（１つまたはそれより多く）を使用して変更されていないパケットを分類出来るので、変換されたフィルタを捨てることが出来る。

図３は、エンドツーエンド通信リンクの異なるノードまたは異なるレイヤにある様々なサブシステムによって要求される特殊な処理（例えば、ＱＯＳ、セキュリティ、トンネリングなど）の問題を解決する方法を例解する。ネットワーク経路内のノードは、特定のＩＰデータパケットに適用される２つの衝突するプロセス（例えば、ＱＯＳ分類およびＩＰＳｅｃ処理またはトンネリングなど）に起因してパケット分類フィルタの衝突が存在することを決定することが出来る、ステップ１９０。ネットワーク経路上で実施されるＩＰデータパケットに対する変更の性質に依存して、従って、パケットフィルタが影響を受けまたは衝突状態にされる形に依存して、パケットフィルタを、変更されたＩＰデータパケットの所望の分類をもたらす変換されたパケットフィルタに変更しまたは変換する、ステップ１９２。この変換ステップは、オリジナルパケットフィルタが変更されていないパケットを分類するのと同一の形で、変更されたＩＰデータパケットを分類する変換されたパケットフィルタ（１つまたはそれより多く）をもたらす。その後、変換されたパケットフィルタは、ネットワーク経路中のルータに展開される、ステップ１９４。

上で述べたように、展開されたパケットフィルタおよびＩＰデータパケットに対する変更から生じる展開されたパケットフィルタの間の衝突に関する問題は、展開されたフィルタを、変更されたパケットに対して所望のＩＰデータパケットフローを生成する変換されたフィルタに変換することによって解決することが出来る。フィルタ変換機構は、ユースケースおよびパケットストリーム上で実行されるタイプ変更に基づいて変化する。用語「フィルタ変換」は、変換されたフィルタセットが、変更されないフィルタセットが変更されないパケットを分類するのと同一の形で、変更されたパケットを分類することを可能にする、所与のフィルタセット中の各フィルタに対して行われる変更を指す。

仮説の例で、パケットＰは、３つのフィールドを有するヘッダとそれに続くペイロードとを含む。従って、

ここで、Ｆｉｅｌｄ１、Ｆｉｅｌｄ２、およびＦｉｅｌｄ３は、各々２バイトの長さである。

この仮説の例のさらなる要素として、フィルタセットＦは、そのＦｉｅｌｄ２値が１００と等しいパケットと一致するようにセットされた１つのフィルタｆを含む。このフィルタを、ｆ：Ｆｉｅｌｄ２＝１００と表すことが出来る。典型的に、各フィルタは、オフセット／値／長さの３つ組によって表される。例えば、フィルタｆを、ｆ：Ｏｆｆｓｅｔ＝２，Ｖａｌｕｅ＝１００，Ｌｅｎｇｔｈ＝２として構成することが出来る。この例では、オフセット２にある（オフセット０から開始して）１００と等しい２バイト値を担持する、タイプＰの全てのパケットが、フィルタｆと一致する。

例解のために、パケットＰを、次のように変更されたパケットＰ’を作成するためにヘッダにプリアンブルを追加することによるように、ネットワークルータのうちの１つの中で変更することが出来る。

ここで、Ｐｒｅａｍｂｌｅは、この例では１０バイトの長さである。

この例は、様々な実施形態によって対処される問題を示す。フィルタｆが、この変更されたパケットＰ’に適用される場合に、ｆは、フィルタ判断基準に一致することが出来ず、あるいは、プリアンブル中のオフセット２の２バイトに値１００が現れる場合に、フィルタ判断基準に誤って一致する場合がある。フィルタが一致を正しく検出するために、フィルタを、次のようにフィルタのオフセットをプリアンブルの長さだけ増やすことによるなど、プリアンブルを考慮に入れるように変換しなければならない。

変換されたフィルタｆ’は、変更されないパケットＰに対して動作するフィルタｆによって達成されるものと同一の結果を達成するために、変更されたパケットＰ’に正しく一致する。

上の例では、パケット変更が、オリジナルパケットＰの内容の暗号化または変更を含む場合には、変換されたフィルタｆ’も、変更されたパケットＰ’に一致することが出来ない。従って、そのような場合には、より高度なフィルタ変換が必要になるはずである。

ＩＰパケットが、１つまたはそれより多くのＩＰヘッダまたはトランスポートヘッダ中で再カプセル化される場合に、フィルタ変換は、トランスポートヘッダを考慮に入れるためにフィルタのオフセットをシフトすることを含む。この変換は、直接にまたは間接に達成することが出来る。直接法では、新しいオフセット値がフィルタ中で指定され、この新しいオフセット値は、トランスポートヘッダに関連する追加オフセットを反映する。間接法では、変換されたフィルタは、オリジナルヘッダのフィールドにフィルタオフセットを適用することを可能にするために、変更されたパケット中のオリジナルヘッダの位置を示すことが出来る。例えば、オリジナルＩＰデータパケットＰは、

の形をとることが出来、ここで、ペイロードデータには、ＩＰデータヘッダ（ＩＰ ＨＤｒ１）およびＴＣＰデータヘッダ（ＴＣＰ Ｈｄｒ１）が先行する。変更されたＩＰデータパケットは、

の形をとることが出来、ここで、変更されたＩＰデータパケットは、追加のＩＰヘッダ（ＩＰ Ｈｄｒ２）を含む。

ワイヤレスデバイス／端末１０１またはピアデバイス／端末１２０上で動作するアプリケーションは、次のように、フローを生成するためにオリジナルフィルタを特定することが出来る。

このフィルタを、ＩＰデータパケットの所望の処理をもたらすために適切なルータ（順方向リンク処理または逆方向リンク処理に依存する）に展開することが出来る。従って、ルータによって特定のソースＩＰアドレスから受信された全てのＩＰデータパケットが、所望の処理「ｘ」を受けるためにフィルタによって分類される。所望の処理ｘは、複数の処理機能のいずれにもすることが出来る。例えば、ｘがＱＯＳ機能である場合に、特定のソースＩＰから受信されたＩＰデータパケットを、最小ＱＯＳを提供するためにワイヤレス通信リンク内の特定のエアリンクを通してルーティングすることが出来る。別の例として、機能ｘは、ＩＰデータパケットを暗号化することが出来る。従って、この例では、特定のソースＩＰアドレスから受信された全てのＩＰデータパケットを、機能ｘに従って暗号化することが出来る。

この例では、ＩＰデータパケット変更Ｐを全く伴わずにルータに配送されるフィルタは、ｆ：ソースＩＰアドレス＝ｘ，ＩＰ ｈｄｒ ＃１のように見えるものとすることが出来る。変更されたパケットのためにルータに配送される変換されたフィルタは、

のように見えるものとすることが出来、ここで、ＩＰ Ｈｄｒ ＃２は、ＩＰデータパケット変更Ｐ’に従って追加される。

直接フィルタ変換法または間接フィルタ変換法の使用を、ネットワーク内の様々なノードにフィルタセットを通信するのに使用されるシグナリングプロトコルに組み込むことが出来る。例えば、３ＧＰＰ２ ＱＯＳ仕様は、変換されたフィルタテンプレート（translated filter template、ＴＦＴ）をＰＤＳＮに渡すメッセージ内の内側ＩＰヘッダまたは外側ＩＰヘッダを示すために１ビットを要求する。このプロトコルは、１つのＩＰヘッダカプセル化を可能にするのみである。

より洗練された方法が、典型的に、暗号化されたＩＰＳｅｃパケット用のフィルタを変換するのに必要である。ＩＰＳｅｃは、２つの動作モード即ち、トランスポートモードおよびトンネルモードを含む。これらのモードは、次の形でＩＰデータパケットを変更することを含む。

上の命名法では、ＥＳＰは、Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌを表し、ＡＨは、認証ヘッダ（Authentication Header）を表す。ＩＰＳｅｃ（ＩＰセキュリティプロトコル）は、ＩＰレイヤの２つのプロトコル即ち、ＩＰ認証ヘッダ（ＡＨ）およびＥｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ（ＥＳＰ）を含む。これらのプロトコルは、単独でまたは互いと組み合わせて適用することが出来る。ＡＨは、アンチリプレイ（anti-replay）を提供し、パケットの内容が移動中に変更されていないことを検証する。ＡＨは、ＩＰパケット内に埋め込まれ、伝送される数学的コードであり、単独でまたはＥＳＰと組み合わせて適用することが出来る。ＥＳＰは、データ機密性（暗号化）、アンチリプレイ、および認証を提供する。ＥＳＰは、ＩＰパケット内のデータをカプセル化し、単独でまたはＡＨと組み合わせて適用することが出来る。

トンネルモードまたはトランスポートモードのいずれにおいても、暗号化が達成される場合には、ＩＰデータパケットの１つまたはそれより多くのいずれかのオリジナルヘッダが、アクセス不能になる。従って、そのような状況でのフィルタ変換は、オリジナルフィルタを、アクセス可能なままであるヘッダ中のフィールドにマッピングすることに頼る。トランスポートモードでは、オリジナルＩＰヘッダおよびＥＳＰパラメータまたはＡＨパラメータのみがアクセス可能である。ＴＣＰヘッダは、暗号化され、従って、もはやフィルタからアクセス可能ではない。従って、所望のフローを生成するのにＴＣＰヘッダに頼る全てのオリジナルフィルタは、ＩＰデータパケットが暗号化された後に、役に立たなくなる。従って、変換されたフィルタは、ＩＰデータパケットを正しく分類し、所望のフローを生成するために、オリジナルＩＰヘッダ、ＥＳＰパラメータ、またはＡＨパラメータを調べる必要がある。

トンネルモードでは、内側ＩＰヘッダ（ＩＰデータパケット上のオリジナルＩＰヘッダであった）とは異なる外側ＩＰヘッダおよびＥＳＰまたはＡＨのみが、アクセス可能になる（即ち、暗号化されない）。従って、中間ネットワークにまたがってカプセル化テクノロジを使用する通信チャネル（ＩＰトンネル）を介して移送されるＩＰデータパケット用の変換されたフィルタは、ＩＰデータパケットを分類し、正しいフローを生成するのに、外側ＩＰヘッダおよびＥＳＰフィールドまたはＡＨフィールドに頼らなければならない。ＩＰトンネリングは、例えば、ユーザが、仮想プライベートネットワーク（ＶＰＮ）を通したまたはＩＰｖ４インターネットにまたがるＩＰｖ６実施態様の島を通したエンドツーエンド通信リンクを確立しようとする時に発生する可能性がある。ＩＰトンネリングでは、全てのＩＰデータパケットが、トランジットネットワークにネイティブな別のパケットフォーマット内にカプセル化される。その結果、ＩＰデータパケットがカプセル化される時には、ＩＰデータパケットのヘッダに現れる複数のオリジナルパラメータが、もはやフィルタからアクセス可能ではなくなる。

様々な実施形態は、オリジナルフィルタを、宛先ＩＰアドレス、プロトコル（ＥＳＰ／ＡＨ）、およびセキュリティパラメータインデックス（ＳＰＩ）を具備する新しいフィルタセットにマッピングすることによって、フィルタを変換する。また、この３つのフィールドは、各ＩＰＳｅｃフローを一意に識別し、ＩＰＳｅｃ用語でセキュリティアソシエーション（ＳＡ）と呼ばれる。ＩＰＳｅｃストリームを、各々が潜在的に同一のまたは異なるセキュリティアルゴリズムを使用する複数の保護されたストリームに分離するために、主ＳＡを複数の子ＳＡに分割することが出来る。最も外のＩＰヘッダ中のプロトコルフィールドは、ＥＳＰまたはＡＨのいずれかである。ＳＰＩは、ＥＳＰフィールドまたはＡＨフィールド内のセキュリティ識別子である。宛先ＩＰアドレスは、最も外のＩＰヘッダから抽出される。次のアルゴリズムは、オリジナルフィルタがＱＯＳ分類のために作られていると仮定して、オリジナルフィルタをＩＰＳｅｃベースの変換されたフィルタにどのようにマッピングすべきかを説明するものである。これらの実施形態の主なアイデアは、ＩＰＳｅｃストリームを使用するＱＯＳストリームを識別するために、各ＱＯＳフローを１つまたはそれより多くのＩＰＳｅｃ子ＳＡに表すことである。この形で、オリジナルＱＯＳフィルタは、分類に必要ではなくなる。

この実施形態の説明では、次の表記を使用する。

ＳからＳ’への変換は、フィルタセットＳの各フィルタを、上で説明したように宛先ＩＰアドレス、プロトコル（ＥＳＰ／ＡＨ）、およびＳＰＩを構成する変換されたフィルタセットＳ’の対応するフィルタにマッピングすることによって実行される。フィルタセットＳが複数のＩＰＳｅｃストリーム（子ＳＡ）に分割される場合には、各々の子ＳＡを識別するのに使用されるフィルタのそれぞれを、同一の手順を使用して、宛先ＩＰアドレス、プロトコル（ＥＳＰ／ＡＨ）、およびＳＰＩを構成する対応するフィルタにマッピングすることが出来る。

様々な実施形態は、ＱＯＳフローを表すフィルタのセットＱと要求されたまたは構成されたＩＰＳｅｃフローを表すフィルタのセットＳとの間の交差に依存して、変換されたＱＯＳフィルタＱ’へのＱＯＳフィルタＱの変換を実行する。通信リンクのネゴシエーションの間またはその後に、通信するデバイスは、通信経路を通して発生するパケット変更の性質（例えば、暗号化）ならびに、ＩＰＳｅｃフィルタなどのパケットフィルタの第１のセットとＱＯＳフィルタのようなパケットフィルタの第２のセットとの間のオーバーラップまたは交差が所与の通信経路に存在する度合を決定することが出来る。パケット変更の性質は、データを送信し、受信するアプリケーションに基づいて決定することが出来る。オーバーラップまたは交差の度合は、所与の通信セッションに用いられる通信リンクのタイプ（例えば、インターネットに接続されたワイヤレス通信リンク）、パケットを送信しまたは受信するアプリケーション、および所与の通信経路でのパケットに対する決定された変更に基づいて決定することが出来る。限られた個数の可能なフィルタオーバーラップまたは交差が、２つのタイプのパケットフィルタの間で可能である。可能な交差シナリオを、図２Ａから２Ｅに例解する。可能なフィルタ交差シナリオのそれぞれについて、オリジナルフィルタの変換を、図３〜７に示されたプロセス流れ図に示されたものの中の適切な方法を使用して実行することが出来る。図３〜７に示されたプロセス流れは、ＱＯＳフローとＩＰＳｅｃフローとの間の交差を仮定するが、これらの方法は、他のタイプのパケットフローおよびそのオーバーラップまたは交差が図２Ａ〜２Ｅに例解されたものに類似するフィルタに適用可能である。当業者は、他のタイプのＩＰデータパケットフィルタ変換を、図３〜７を参照して下で説明するものと同一の形で実施出来ることを了解するであろう。

図２Ａは、ＱＯＳフローがＩＰＳｅｃプロセスフローと同等である（即ち、Ｑ＝Ｓ）ネットワークシナリオを示す。そのような状況では、ＱＯＳフィルタにかけられるＩＰデータパケットの全てが、ＩＰＳｅｃフィルタにもかけられる。

図３は、ＱＯＳフィルタおよびＩＰＳｅｃフィルタが正確に同一のＩＰデータパケットを分類する（即ち、これらのフィルタが、フィルタパラメータが異なる可能性があっても、同一のパケットを分類する）時に、ＱＯＳフィルタまたはＩＰＳｅｃフィルタを変換する実施形態方法のプロセスフローを例解する。そのような状況は、図２Ａに例解されたシナリオに類似する。図３を参照すると、ＩＰＳｅｃフィルタとのセキュリティアソシエーション（ＳＡ）が、セットアップされる、ステップ２０５。言い換えると、ＩＰトンネルのセキュリティエンドポイントの間のセキュリティ鍵が、その２つのエンドポイントだけがパケットデータを見られるようにするために、ネゴシエートされる。例として、ユーザが、保護されたサーバ（例えば、１２０）に遠隔的にログインすることを試みる時に、ＩＰデータパケットが平文で遠隔端末エンドポイントに送信されないようにするために、セキュリティ予防措置を講じなければならない。従って、保護されたサーバおよび遠隔端末エンドポイントだけがＩＰデータパケットを見られるようにするために、保護されたサーバと遠隔端末エンドポイントとの間のセキュリティ鍵がネゴシエートされる。複数のＩＰトンネルを、遠隔端末エンドポイントとサーバとの間でネゴシエートすることが出来るが、各トンネルは、特定のトラフィックだけのために使用される。各トンネルは、通信リンクに沿った異なる伝送の必要を満足するために、変化する度合の暗号化保護を実施することが出来る。この形で、ユーザが遠隔端末から保護されたサーバにログインした状態で、異なるアプリケーションが、変化する度合の保護されたデータを要求することが出来る。例えば、ユーザが、ビデオ会議コールならびに機密の売上データのＩＰデータパケットを伝送する場合がある。ビデオ会議コールアプリケーションのＩＰデータパケットは、取扱注意ではない可能性があり、従って、これらのＩＰパケットを、より不安全な暗号化を使用するトンネルを通して伝送されるように、ＩＰＳｅｃフィルタを介してルーティングすることが出来る。しかし、機密の売上データを、アプリケーションによって、高セキュリティ暗号化を実施するトンネルを通して伝送されなければならない非常に取扱注意の情報として認識することが出来る。従って、適当なＩＰＳｅｃフローを、パケットがビデオ情報またはテキスト情報のどちらを含むのかをチェックするフィルタによって実施することが出来る。この例では、２つのデータストリーム（即ち、ビデオおよびデータ）のＱＯＳ要件は、データパケットの内容にも依存する。これは、イメージがフリッカを引き起こさずにパケットの再送を待つことが出来ず、捨てられるパケットがイメージ品質を劣化させるので、ビデオパケットが伝送品質に敏感であるからである。対照的に、データパケットは、パケットが低ＱＯＳ通信リンクで失われる場合に、再送することが出来る。従って、適切なＱＯＳフローを、パケットがビデオ情報またはテキスト情報のどちらを含むのかをチェックするフィルタによって実施することが出来る。ＩＰＳｅｃフィルタおよびＱＯＳフィルタを使用して達成されるパケット分類は全く同一であるため、Ｑ＝Ｓである。

ＩＰＳｅｃフィルタとのセキュリティアソシエーション（ＳＡ）がセットアップされた後に、ＩＰＳｅｃフィルタＳを変換されたＩＰＳｅｃフィルタＳ’に変換する、ステップ２１０。変換されたＩＰＳｅｃフィルタＳ’は、オリジナルのＩＰＳｅｃフィルタＳが変更されないＩＰデータパケットに対して有するのと同一の、暗号化されたパケットに対する分類を達成するフィルタであり、従って、セキュリティアソシエーション（ＳＡ）は、ＩＰデータパケットが暗号化される時であっても正しくマッピングされるようになる。ＳからＳ’への変換は、上で説明したものに似た方法を使用して達成することが出来る。ＩＰＳｅｃフィルタが変換された後には、ＩＰＳｅｃフィルタＳ’が、Ｑの代わりにＱＯＳ分類を実行するのに使用される、言い換えると、変換されたＱＯＳフィルタＱ’は、Ｓ’と同一即ちＱ’＝Ｓ’である、ステップ２１５。この形で、変換されたＱＯＳフィルタも、ＩＰデータパケットが暗号化される時であっても、ＩＰデータパケットをその適切なＱＯＳフローに正しく分類する。

図２Ｂは、ＩＰＳｅｃフローとのＱＯＳフローの交差がＱＯＳプロセスフローを包含する（即ち、Ｑ∩Ｓ＝Ｑ）ように、ＱＯＳフローがＩＰＳｅｃプロセスフロー未満であるネットワークシナリオを示す。そのような状況では、ＱＯＳフィルタにかけられるＩＰデータパケットの全てが、ＩＰＳｅｃフィルタにもかけられるが、ＩＰＳｅｃフィルタにかけられるＩＰデータパケットのうちの複数が、ＱＯＳフィルタにかけられない。この状況では、ＩＰＳｅｃフィルタセットＳによって実施される変化するレベルのセキュリティ暗号化がある場合がある。これらの変化するレベルのセキュリティの各々を、サブセットセキュリティフィルタｓ１、ｓ２、ｓ３によって表すことが出来る。例解された例では、ＱＯＳフィルタにかけられるＩＰデータパケットの全てが、ＩＰＳｅｃサブセットフィルタｓ２と一貫し、またはこれにかけられるものとすることが出来るが、サブセットフィルタｓ１およびｓ３は、ＱＯＳフィルタと一貫しない。

図４は、ＱＯＳフローとＩＰＳｅｃフローとの間の交差が、図２Ｂに示されているようにＱＯＳフローを含む時のＱＯＳフィルタまたはＩＰＳｅｃフィルタを変換する実施形態方法のプロセスフローを例解する。この状況において、ＩＰＳｅｃフィルタセットＳが３つのサブセットフィルタｓ１、ｓ２、ｓ３の和と等しくなるように、ＩＰＳｅｃフィルタセットＳを、サブセットフィルタの第１のグループｓ１、ｓ２、ｓ３に分割することが出来、サブセットフィルタｓ２は、ｓ２がＱと同一のパケット分類を実行するようにＱＯＳフィルタになるように選択される（ｓ２＝Ｑ）、ステップ２０１。ＩＰＳｅｃフィルタセットＳが分割された後に、ＩＰＳｅｃフィルタセットＳとのセキュリティアソシエーション（ＳＡ）をセットアップする、ステップ２０５。次に、ＳＡと同一のセキュリティアソシエーションを有する子セキュリティアソシエーションを、ｓ２を使用してセットアップする、ステップ２２０。サブセットフィルタｓ２（ＱＯＳフィルタと同等である）をｓ’２に変換する、ステップ２２５。変換されたサブセットフィルタｓ’２は、サブセットフィルタｓ２が変更されないパケットに対して生成するものと同一のフローを、暗号化されたパケットに対して生成する。次に、ＱＯＳフィルタＱを、変換されたＱＯＳフィルタＱ’に変換し、ここで、フィルタＱ’は、フィルタＳ’２と同一である、ステップ２３０。オプションで、第２の子セキュリティアソシエーションを確立するために、サブセットＩＰＳｅｃフィルタｓ１を使用して、第２の子ＳＡをセットアップすることが出来る、オプションのステップ２３５。さらに、サブセットＩＰＳｅｃフィルタｓ３を使用して、同一のセキュリティ ＳＡを用いて第３の子ＳＡをセットアップすることが出来る、オプションのステップ２４０。

図２Ｃは、ＩＰＳｅｃフローとのＱＯＳフローの交差がＩＰＳｅｃフローを包含する（即ち、Ｑ∩Ｓ＝Ｓ）ようにＩＰＳｅｃフローがＱＯＳフロー未満であるネットワークシナリオを示す。そのような状況では、ＩＰＳｅｃフィルタにかけられるＩＰデータパケットの全てが、ＱＯＳフィルタにもかけられるが、ＱＯＳフィルタにかけられるＩＰデータパケットのうちの複数が、ＩＰＳｅｃフィルタにかけられない。例解された例では、ＩＰＳｅｃフィルタＳにかけられるＩＰデータパケットの全てが、ＱＯＳサブセットフィルタｑ２にもかけられるものとすることが出来る。

図５は、ＱＯＳフローとＩＰＳｅｃフローとの間の交差が図２Ｃに例解されているようにＩＰＳｅｃフローを含む時の、ＱＯＳフィルタまたはＩＰＳｅｃフィルタを変換する実施形態方法のプロセスフローを例解する。この状況では、ＱＯＳフィルタセットＱが３つのサブセットフィルタｑ１、ｑ２、ｑ３の和と等しくなるように、ＱＯＳフィルタをサブセットフィルタの第１のグループｑ１、ｑ２、ｑ３に分割することが出来、サブセットフィルタｑ２は、ｑ２がＳと同一のパケット分類を実行するようにＩＰＳｅｃフィルタになるように選択される（ｑ２＝Ｓ）、ステップ２５０。ＱＯＳフィルタが分割された後に、ＩＰＳｅｃフィルタセットＳとのセキュリティアソシエーション（ＳＡ）をセットアップする、ステップ２０５。次に、ＩＰＳｅｃフィルタセットＳ（サブセットＱＯＳフィルタｑ２と同等である）を、変換されたＩＰＳｅｃフィルタＳ’に変換する、ステップ２５５。変換されたＩＰＳｅｃフィルタＳ’は、ＩＰＳｅｃフィルタＳが変更されていないパケットに対して生成するのと同一のフローを、変更されたパケットに対して生成する。次に、ＱＯＳフィルタＱを、変換されたＱＯＳフィルタＱ’を作るために変換し、ここで、Ｑ’は、サブセットＱＯＳフィルタｑ１、変換されたＩＰＳｅｃフィルタＳ’、およびサブセットＱＯＳフィルタｑ３の和と同等である（即ち、Ｑ’＝ｑ１＋Ｓ’＋ｑ３）、ステップ２６０。

図２Ｄは、ＩＰＳｅｃプロセスフローとのＱＯＳフローの交差がＩＰＳｅｃフローを包含する（即ち、Ｑ∩Ｓ＝Ｓ）ように、ＩＰＳｅｃフローがＱＯＳフローのサブセットであるネットワークシナリオを示す。そのような状況では、ＩＰＳｅｃフィルタにかけられるＩＰデータパケットの全てが、ＱＯＳフィルタにもかけられるが、ＱＯＳフィルタにかけられるＩＰデータパケットのうちの複数が、ＩＰＳｅｃフィルタにかけられない。例解された例では、ＩＰＳｅｃフィルタＳにかけられるＩＰデータパケットの全てが、ＱＯＳサブセットフィルタｑ２にもかけられるものとすることが出来る。

図６は、ＱＯＳフローとＩＰＳｅｃフローとの間の交差が図２Ｄに示されているようにＩＰＳｅｃフローを含む時のＱＯＳフィルタまたはＩＰＳｅｃフィルタを変換する実施形態方法のプロセスフローを示す。この状況では、ＱＯＳフィルタセットＱが、２つのサブセットＱＯＳフィルタｑ１、ｑ２の和と等しく、サブセットＱＯＳフィルタｑ２がＩＰＳｅｃフィルタになるように選択される（ｑ２＝Ｓ）ように、ＱＯＳフィルタをサブセットフィルタの第１のグループｑ１、ｑ２に分割することが出来る、ステップ２７０。ＱＯＳフィルタが分割された後に、ＩＰＳｅｃフィルタセットＳとのセキュリティアソシエーション（ＳＡ）をセットアップする、ステップ２０５。次に、ＩＰＳｅｃフィルタセットＳ（サブセットＱＯＳフィルタｑ２と同等である）を、変換されたＩＰＳｅｃフィルタセットＳ’を作るために変換する、ステップ２７５。変換されたＩＰＳｅｃフィルタセットＳ’は、ＩＰＳｅｃフィルタセットＳが変更されないパケットに対して生成するのと同一のフローを、暗号化されたパケットに対して生成する。次に、ＱＯＳフィルタＱを、変換されたＱＯＳフィルタＱ’を作るために変換し、ここで、Ｑ’は、サブセットＱＯＳフィルタｑ１および変換されたＩＰＳｅｃフィルタＳ’の和と同等である（即ち、Ｑ’＝ｑ１＋Ｓ’）、ステップ２８０。

図２Ｅは、ＩＰＳｅｃフローとのＱＯＳフローの交差がＱＯＳフロー以下でＩＰＳｅｃフロー以下の何かを包含する（即ち、Ｑ∩Ｓ≦Ｓ、Ｑ∩Ｓ≦Ｑ）ように、ＩＰＳｅｃフローの一部がＱＯＳフローの一部と交差するネットワークシナリオを示す。そのような状況では、ＱＯＳフィルタにかけられるＩＰデータパケットの一部が、ＩＰＳｅｃフィルタにもかけられ、逆も同様である。この状況では、ＩＰＳｅｃフィルタセットＳによって実施される変化するレベルのセキュリティ暗号化がある場合がある。これらの変化するレベルのセキュリティの各々を、サブセットセキュリティフィルタｓ１、ｓ２によって表すことが出来る。例解された例では、ＱＯＳサブセットフィルタｑ２にかけられるＩＰデータパケットは、ＩＰＳｅｃサブセットフィルタｓ１にもかけられる場合がある。

図８は、図２Ｅに例解されているようにＱＯＳフローとＩＰＳｅｃフローとの間の交差がＱＯＳフロー以下または等しい時、そしてＩＰＳｅｃフロー以下、または等しくもある時のＱＯＳフィルタまたはＩＰＳｅｃフィルタを変換する実施形態方法のプロセスフローを例解する。この状況では、ＱＯＳフィルタセットＱが２つのサブセットＱＯＳフィルタｑ１、ｑ２の和と等しくなるように、ＱＯＳフィルタをサブセットＱＯＳフィルタの第１のグループｑ１、ｑ２に分割することが出来る、ステップ２９０。ＩＰＳｅｃフィルタセットＳが２つのサブセットＩＰＳｅｃフィルタｓ１、ｓ２の和と等しくなるように、ＩＰＳｅｃフィルタを同様にサブセットＩＰＳｅｃフィルタの第２のグループｓ１、ｓ２に分割することが出来る、ステップ２９５。加えて、ＱＯＳサブセットフィルタｑ２は、サブセットＩＰＳｅｃフィルタｓ１と同一のパケット分類を実行する。次に、ＩＰＳｅｃフィルタセットＳとのセキュリティアソシエーション（ＳＡ）をセットアップする、ステップ２０５。次に、サブセットＱＯＳフィルタｑ２と同等であるかこれと一貫するＩＰｓｅｃフィルタセットＳのサブセットであるサブセットＩＰＳｅｃフィルタｓ１を使用して、第１の子セキュリティアソシエーション（ＳＡ）をセットアップする、ステップ３００。次に、変更されたＩＰデータパケットが第１の子ＳＡに正しくマッピングされるようにするために、サブセットＩＰｓｅｃフィルタｓ１を変換されたサブセットＩＰｓｅｃフィルタｓ’１に変換する、ステップ３０５。サブセットＩＰｓｅｃフィルタｓ１は、サブセットＱＯＳフィルタｑ２と同等であるかこれと一貫するので、サブセットフィルタｓ’１を、サブセットＱＯＳフィルタｑ２の代わりに、ＱＯＳ分類を提供するのに使用することが出来る。次に、ＱＯＳフィルタセットＱを、変換されたＱＯＳフィルタセットＱ’に変換し、ここで、Ｑ’は、サブセットＱＯＳフィルタｑ１および変換されたサブセットＩＰｓｅｃフィルタｓ’１の和と同等である（即ち、Ｑ’＝ｑ１＋ｓ’１）、ステップ３１０。オプションで、第２の子セキュリティアソシエーションを確立するために、サブセットＩＰＳｅｃフィルタｓ２を使用して、第２の子ＳＡをセットアップすることが出来る、オプションのステップ３１５。

上で述べたように、ＩＰデータパケットが衝突する処理（例えば、ＱＯＳおよびＩＰＳｅｃ）にかけられると決定するネットワーク経路内のノードは、通信経路上で発生するパケット変更の性質（例えば、暗号化）ならびに、ＩＰＳｅｃフィルタなどのパケットフィルタの第１のセットとＱＯＳフィルタなどのパケットフィルタの第２のセットとの間のオーバーラップまたは交差が所与の通信経路に存在する度合を決定することが出来る。パケット変更の性質は、アプリケーションがセキュリティ対策（例えば、ＩＰＳｅｃ）の実施などのパケットに対する変更を要求したかどうかを含めて、または特定のノードが実行を要求されるパケット処理の際に、データを送信し、受信するアプリケーションに基づいて決定することが出来る。オーバーラップまたは交差の度合は、ノードが実行を要求されるパケット処理および所与の通信セッションに用いられる通信リンクのタイプ（例えば、インターネットに接続されたワイヤレス通信リンク）に基づいて決定することが出来る。フィルタＳおよびＱなど、第１のフィルタおよび第２のフィルタのセットを与えられれば、上のケースのうちの１つを適用するためにＱフィルタとＳフィルタとの間のオーバーラップ、交差、または共通サブセットを決定するプロセスは、実施態様依存である（即ち、通信するデバイスおよびネットワークトポロジに依存する）。ＱとＳとの間の共通サブセットを決定するという問題がどのように解決されるかにかかわりなく、上で説明した方法を、フィルタを適切に変換するのに使用することが出来る。

フィルタを変換する時に考慮すべき幾つかの他の要因がある。上の方法は、Ｍｏｂｉｌｅ ＩＰおよびＩＰＳｅｃに関する詳細な変換方法を記述するのみである。類似する概念を、他のプロトコルまたはユースケースに適用することが出来る。ＩＰトンネリングに関する他のユースケースは、ＩＰｖ４−ＩＰｖ６インターワーキング、非ＩＰトランスポートを介するＩＰパケットのシッピング（バックエンドワイヤレスネットワークでしばしば使用される）などを含む。上で記述したＱＯＳフィルタ変換方法およびＩＰＳｅｃフィルタ変換方法を、ヘッダ圧縮、アカウンティング、ファイヤウォールなどのための分類などのような、ＩＰＳｅｃを行いながら他のフローごとのユースケースに拡張することが出来る。ネットワークトポロジ／アーキテクチャに依存して、変更された本発明のバージョンを、そのような問題を解決するために適用することが出来る。

幾つかのケースにおいて、フィルタを変換し、ＩＰデータパケットの処理の後にフローの同一のセットを区別することを可能にするために使用可能な十分なパラメータがない実施態様など、フィルタ変換のみでは、同一のフロー分類が実現されない場合がある。例えば、ＩＰＳｅｃ処理の対象になるＩＰデータパケットの場合に、ネットワーク経路が１つのトンネル／セキュリティアソシエーションだけを含むならば、フィルタを変換することだけでは、複数のフローをサポートすることが出来ない。この問題を解決するためには、ノードがＩＰＳｅｃを超えて異なるフローを区別出来るようにするために、追加のＩＰトンネルを確立することが出来る。その様なケースにおいて、特定のレイヤ／ノードでのＩＰパケット変更の後に同一のフロー分類を達成するために追加のトンネル／セキュリティアソシエーションを確立することなど、追加の制御手順を実施することも出来る。

上で説明した実施形態を、様々な移動体デバイスのいずれにおいても実施することが出来る。典型的に、そのような移動体デバイスは、共通して図９に例解されたコンポーネントを有する。例えば、移動体デバイス１３０は、内部メモリ１３２およびディスプレイ１３３に結合されたプロセッサ１３１を含むことが出来る。加えて、移動体デバイス１３０は、ワイヤレスデータリンクおよび／またはプロセッサ１３１に結合されたセルラ電話トランシーバ１３５に接続される電磁放射を送信し、受信するアンテナ１３４を有する。幾つかの実施態様では、セルラ電話通信に使用される、トランシーバ１３５とプロセッサ１３１およびメモリ１３２の諸部分とが、ワイヤレスデータリンクを介するデータインターフェースを提供するので、これをエアインターフェースと称する。移動体デバイス１３０は、典型的に、キーパッド１３６またはミニチュアキーボードと、ディスプレイ１３３内でカーソルを位置決めするユーザ入力を受け取るポインティングデバイスとして働くメニュー選択ボタンまたはロッカースイッチ１３７をも含む。プロセッサ１３１を外部ポインティングデバイス（例えば、マウス）またはパーソナルコンピュータ１６０などのコンピューティングデバイスまたは外部ローカルエリアネットワークに接続するために、プロセッサ１３１を、さらに、ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ（ＵＳＢ）またはＦｉｒｅＷｉｒｅ（登録商標）コネクタソケットなどの有線ネットワークインターフェース１３８に接続することが出来る。

プロセッサ１３１は、任意のプログラマブルマイクロプロセッサ、マイクロコンピュータ、もしくは複数のプロセッサチップ、または、上で説明した様々な実施形態の機能を含む様々な機能を実行するためにソフトウェア命令（アプリケーション）によって構成出来るチップとすることが出来る。幾つかの移動体デバイス１３０では、ワイヤレス通信機能専用の１つのプロセッサおよび他のアプリケーションの実行専用の１つのプロセッサなど、複数のプロセッサ１３１を設けることが出来る。プロセッサを、通信チップセットの一部として含めることも出来る。典型的に、ソフトウェアアプリケーションにアクセスし、これをプロセッサ１３１にロードする前に、ソフトウェアアプリケーションを内部メモリ１３２に格納することが出来る。幾つかの移動体デバイス１３０では、プロセッサ１３１は、アプリケーションソフトウェア命令を格納するのに十分な内部メモリを含むことが出来る。この記述において、用語のメモリは、内部メモリ１３２およびプロセッサ１３１自体の中のメモリを含めて、プロセッサ１３１によってアクセス可能な全てのメモリを指す。アプリケーションデータファイルは、典型的に、メモリ１３２内に格納される。多くの移動体デバイス１３０では、メモリ１３２は、揮発性メモリまたはフラッシュメモリなどの不揮発性メモリ、あるいはその両方の混合とすることが出来る。

また、上で説明した実施形態を、図１０に例解されたパーソナルコンピュータ１６０など、様々なコンピューティングデバイスのいずれにおいても実施することが出来る。そのようなパーソナルコンピュータ１６０は、典型的に、揮発性メモリ１６２およびディスクドライブ１６３などの大容量不揮発性メモリに結合されたプロセッサ１６１を含む。コンピュータ１３は、プロセッサ１６１に結合された、フロッピー（登録商標）ディスクドライブ１６４およびコンパクトディスク（ＣＤ）ドライブ１６５をも含むことが出来る。典型的に、コンピュータデバイス１６０は、マウス１６７などのポインティングデバイス、キーボード１６８などのユーザ入力デバイス、およびディスプレイ１６６をも含む。コンピュータデバイス１６０は、ＵＳＢまたはＦｉｒｅＷｉｒｅ（登録商標）コネクタソケットなどのデータ接続を確立するか外部メモリデバイスを受けるためのプロセッサ１６１に結合された複数のコネクタポートまたはプロセッサ１６１をネットワークに結合するための他のネットワーク接続回路１６６をも含むことが出来る。ノートブック構成では、コンピュータハウジングは、コンピュータ技術で周知のとおり、ポインティングデバイス１６７、キーボード１６８、およびディスプレイ１６９を含む。

様々な実施形態を、説明された方法のうちの１つまたはそれより多くを実施するように構成されたソフトウェア命令を実行するコンピュータプロセッサ１３１、１６１によって実施することが出来る。そのようなソフトウェア命令を、実施形態方法を実施する別々のアプリケーションとしてまたはコンパイルされたソフトウェアとして、メモリ１３２、１６２、１６３に格納することが出来る。基準データベースを、内部メモリ１３２、１６２内に、ハードディスクメモリ１６４中に、有形の記憶媒体上に、またはネットワークを介してアクセス可能なサーバ（図示せず）上に格納することが出来る。命令は、様々なタイプの信号担持またはデータ記憶の一次、二次、または三次媒体に常駐することが出来る。例えば、媒体は、ワイヤレスネットワークのコンポーネントによってアクセス可能であるかその内に常駐するランダムアクセスメモリ（ＲＡＭ）を備えることが出来る。さらに、ソフトウェア命令およびデータベースを、ランダムアクセスメモリ１６２、ハードディスクメモリ１６３、フロッピー（登録商標）ディスク（フロッピー（登録商標）ディスクドライブ１６４中で読取り可能）、コンパクトディスク（ＣＤドライブ１６５内で読取り可能）、電気的消去可能／プログラマブル読取り専用メモリ（ＥＥＰＲＯＭ）、読取り専用メモリ（フラッシュメモリおよびフラッシュメモリカードなど）、磁気テープ、光ストレージデバイス（例えば、ＣＤ−ＲＯＭ、ＤＶＤ、ディジタル光テープ）、紙「パンチ」カード、および／または外部メモリチップもしくはＵＳＢネットワークポート１６６に挿入されたＵＳＢ接続可能外部メモリ（例えば、「フラッシュドライブ」）などのコンピュータ１６０に挿入されるメモリモジュール（図示せず）を含む任意の形の有形のプロセッサ可読メモリに格納することが出来る。

当業者は、本明細書で開示される実施形態に関連して記述される様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズムステップを、電子ハードウェア、コンピュータソフトウェア、またはこの両方の組合せとして実施出来ることを了解するであろう。ハードウェアおよびソフトウェアのこの交換可能性を明瞭に例解するために、様々な例解的なコンポーネント、ブロック、モジュール、回路、およびステップを、上では一般的にその機能性に関して記述した。そのような機能性が、ハードウェアまたはソフトウェアのどちらとして実施されるかは、特定の応用例および全体的なシステムに課せられる設計制約に依存する。当業者は、特定の応用例ごとに様々な形で記述された機能性を実施することが出来るが、そのような実施判断が、本発明の範囲からの逸脱を引き起こすと解釈してはならない。

方法のステップが上で説明され、図面に記述される順序は、本発明および特許請求の範囲の趣旨および範囲から逸脱せずに一部のステップの順序を本明細書で記述された順序から変更出来るので、例示のみを目的とする。

本明細書で開示される実施形態に関連して記述される方法またはアルゴリズムのステップを、ハードウェアで直接に、プロセッサによって実行されるソフトウェアモジュールで、あるいはこの２つの組合せで実施することが出来る。ソフトウェアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、リムーバブルディスク、ＣＤ−ＲＯＭ、または当技術分野で既知の任意の他の形の記憶媒体のいずれともすることが出来るプロセッサ可読メモリに常駐することが出来る。例示的な記憶媒体は、プロセッサが記憶媒体から情報を読み取れ、記憶媒体に情報を書き込めるように、プロセッサに結合される。代替案では、記憶媒体は、プロセッサに一体化されたものとすることが出来る。プロセッサおよび記憶媒体が、１つのＡＳＩＣに常駐することが出来る。そのＡＳＩＣが、ユーザ端末または移動体デバイス内に常駐することが出来る。代替案では、プロセッサおよび記憶媒体が、ユーザ端末または移動体デバイス内の別々のコンポーネントとして常駐することが出来る。さらに、幾つかの面では、方法またはアルゴリズムのステップおよび／またはアクションが、コンピュータプログラム製品に組み込むことの出来る機械可読媒体および／またはコンピュータ可読媒体上のコードおよび／または命令の１つまたは任意の組合せまたはセットとして常駐することが出来る。

様々な実施形態の前述の説明は、当業者が本発明を作り、または使用することを可能にするために提供される。これらの実施形態に対する様々な変更は、当業者にすぐに明白になり、本明細書で定義される包括的な原理は、本発明の趣旨または範囲から逸脱せずに他の実施形態に適用され得る。従って、本発明は、本明細書で示される実施形態に限定されることを意図されてはおらず、その代わりに、特許請求の範囲は、本明細書で開示される原理および新規の特徴と一貫する最も広い範囲に従わなければならない。

Claims (48)

1. ネットワーク通信を処理する方法であって、
   ネットワーク経路内のインターネットプロトコル（ＩＰ）データパケットの処理がＩＰデータパケットの変更に起因してパケットフィルタを無効にすることを決定することと、
   変換されたパケットフィルタが前記変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために前記パケットフィルタを変換することと、
   前記変換されたパケットフィルタを前記ネットワーク経路内の少なくとも１つのルータに展開することとを具備する方法。
2. ＩＰデータパケットが前記ネットワーク経路の特定のノード中で変更された後に、前記所望のパケット分類を達成するために追加のトンネルを確立することをさらに具備する請求項１記載の方法。
3. 前記ネットワーク経路は、パケットフィルタの第１のセットおよびパケットフィルタの第２のセットを含み、前記方法は、
   前記ネットワーク経路中のパケットフィルタの前記第１のセットおよびパケットフィルタの前記第２のセットの交差を決定することと、
   パケットフィルタの変換された第１のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットを変換することと、
   パケットフィルタの変換された第２のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差に基づいて、パケットフィルタの前記第２のセットを変換することとをさらに具備する請求項１記載の方法。
4. パケットフィルタの前記第１のセットを変換することは、
   変換された第１のサブセットフィルタが変更されたパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセット内の第１のサブセットフィルタを変換することを具備する請求項３記載の方法。
5. パケットフィルタの前記第２のセットを変換することは、
   パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差ならびにパケットフィルタの前記変換された第１のセットに基づいて、パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換することを具備する請求項３記載の方法。
6. パケットフィルタの前記第２のセットは、複数の第２のサブセットフィルタを備え、
   パケットフィルタの前記第２のセットを変換することは、パケットフィルタの前記第２のセット内の前記複数の第２のサブセットフィルタのうちの１つを前記変換された第１のサブセットフィルタに置換することを具備する請求項４記載の方法。
7. フィルタの前記第１のセットとの第１のセキュリティアソシエーションを確立することをさらに備え、パケットフィルタの前記第１のセットを変換することは、パケットを前記確立された第１のセキュリティアソシエーションに正しくマッピングする請求項３記載の方法。
8. パケットフィルタの前記第２のセットを変換することは、パケットフィルタの前記変換された第１のセットと等しくなるようにパケットフィルタの前記第２のセットをセッティングすることを具備する請求項３記載の方法。
9. パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換することは、
   パケットフィルタの前記変換された第１のセットと等しくなるように前記第２のサブセットフィルタをセッティングすることを具備する請求項５記載の方法。
10. パケットフィルタの前記第１のセットを複数のサブセットフィルタに分割することと、
    前記複数のサブセットフィルタのうちの１つのための第１の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第１の子セキュリティアソシエーションを確立することとをさらに備え、
    パケットフィルタの前記第２のセットを変換することは、パケットを前記確立された第１の子セキュリティアソシエーションに正しくマッピングする請求項７記載の方法。
11. パケットフィルタの前記第１のセット内の第３のサブセットフィルタのための第２の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第２の子セキュリティアソシエーションを確立することをさらに具備する請求項１０記載の方法。
12. パケットフィルタの前記第１のセット内の第４のサブセットフィルタのための第３の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第３の子セキュリティアソシエーションを確立することをさらに具備する請求項１１記載の方法。
13. プロセッサと、
    前記プロセッサに結合されたメモリとを備え、前記プロセッサは、
    ネットワーク経路内のインターネットプロトコル（ＩＰ）データパケットの処理がＩＰデータパケットの変更に起因してパケットフィルタを無効にすることを決定することと、
    変換されたパケットフィルタが前記変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために前記パケットフィルタを変換することと、
    前記変換されたパケットフィルタを前記ネットワーク経路内の少なくとも１つのルータに展開することとを具備するステップを実行するためのソフトウェア命令を伴って構成されるコンピュータ。
14. 前記プロセッサは、を具備するさらなるステップを実行するためのソフトウェア命令を伴って構成される請求項１１記載のコンピュータ。
15. 前記プロセッサは、
    前記ネットワーク経路中のパケットフィルタの前記第１のセットおよびパケットフィルタの前記第２のセットの交差を決定することと、
    パケットフィルタの変換された第１のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットを変換することと、
    パケットフィルタの変換された第２のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差に基づいて、パケットフィルタの前記第２のセットを変換することとを具備するさらなるステップを実行するためのソフトウェア命令を伴って構成される請求項１１記載のコンピュータ。
16. 前記プロセッサは、
    変換された第１のサブセットフィルタが変更されたパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットを変換することがパケットフィルタの前記第１のセット内の第１のサブセットフィルタを変換することを具備するように実行するためのソフトウェア命令を伴って構成される請求項１５記載のコンピュータ。
17. 前記プロセッサは、
    パケットフィルタの前記第２のセットを変換することが、パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差ならびにパケットフィルタの前記変換された第１のセットに基づいて、パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換することを具備するようにステップを実行するためのソフトウェア命令を伴って構成される請求項１５記載のコンピュータ。
18. 前記プロセッサは、
    パケットフィルタの前記第２のセットが、複数の第２のサブセットフィルタを備え、
    パケットフィルタの前記第２のセットを変換することは、パケットフィルタの前記第２のセット内の前記複数の第２のサブセットフィルタのうちの１つを、前記変換された第１のサブセットフィルタに置換することを具備するようにステップを実行するためのソフトウェア命令を伴って構成される請求項１６記載のコンピュータ。
19. 前記プロセッサは、
    フィルタの前記第１のセットとの第１のセキュリティアソシエーションを確立することを具備するさらなるステップを実行するためのソフトウェア命令を伴って構成され、
    パケットフィルタの前記第１のセットを変換することは、パケットを前記確立された第１のセキュリティアソシエーションに正しくマッピングする請求項１５記載のコンピュータ。
20. 前記プロセッサは、
    パケットフィルタの前記第２のセットを変換することが、パケットフィルタの前記変換された第１のセットと等しくなるようにパケットフィルタの前記第２のセットをセッティングすることを具備するようにステップを実行するためのソフトウェア命令を伴って構成される請求項１５記載のコンピュータ。
21. 前記プロセッサは、
    パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換することが、パケットフィルタの前記変換された第１のセットと等しくなるように前記第２のサブセットフィルタをセッティングすることを具備するようにステップを実行するためのソフトウェア命令を伴って構成される請求項１７記載のコンピュータ。
22. 前記プロセッサは、
    パケットフィルタの前記第１のセットを複数のサブセットフィルタに分割することと、
    前記複数のサブセットフィルタのうちの１つのための第１の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第１の子セキュリティアソシエーションを確立することとを具備するさらなるステップを実行するためのソフトウェア命令を伴って構成され、
    パケットフィルタの前記第２のセットを変換することは、パケットを前記確立された第１の子セキュリティアソシエーションに正しくマッピングする請求項１９記載のコンピュータ。
23. 前記プロセッサは、
    パケットフィルタの前記第１のセット内の第３のサブセットフィルタのための第２の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第２の子セキュリティアソシエーションを確立することを具備するさらなるステップを実行するためのソフトウェア命令を伴って構成される請求項２２に記載のコンピュータ。
24. 前記プロセッサは、
    パケットフィルタの前記第１のセット内の第４のサブセットフィルタのための第３の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第３の子セキュリティアソシエーションを確立することを具備するさらなるステップを実行するためのソフトウェア命令を伴って構成される請求項２３記載のコンピュータ。
25. ネットワーク経路内のインターネットプロトコル（ＩＰ）データパケットの処理がＩＰデータパケットの変更に起因してパケットフィルタを無効にすることを決定するための手段と、
    変換されたパケットフィルタが前記変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために前記パケットフィルタを変換するための手段と、
    前記変換されたパケットフィルタを、前記ネットワーク経路内の少なくとも１つのルータに展開するための手段とを具備するコンピュータ。
26. ＩＰデータパケットが前記ネットワーク経路の特定のノード中で変更された後に、前記所望のパケット分類を達成するために追加のトンネルを確立するための手段をさらに具備する請求項２５記載のコンピュータ。
27. 前記ネットワーク経路は、パケットフィルタの第１のセットおよびパケットフィルタの第２のセットを含み、前記方法は、
    前記ネットワーク経路中のパケットフィルタの前記第１のセットおよびパケットフィルタの前記第２のセットの交差を決定するための手段と、
    パケットフィルタの変換された第１のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットを変換するための手段と、
    パケットフィルタの変換された第２のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差に基づいて、パケットフィルタの前記第２のセットを変換するための手段とをさらに具備する請求項２５記載のコンピュータ。
28. パケットフィルタの前記第１のセットを変換するための手段は、変換された第１のサブセットフィルタが変更されたパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセット内の第１のサブセットフィルタを変換するための手段を具備する請求項２７記載のコンピュータ。
29. パケットフィルタの前記第２のセットを変換するための手段は、
    パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差ならびにパケットフィルタの前記変換された第１のセットに基づいて、パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換するための手段を具備する請求項２７記載のコンピュータ。
30. パケットフィルタの前記第２のセットは、複数の第２のサブセットフィルタを備え、
    パケットフィルタの前記第２のセットを変換するための手段は、パケットフィルタの前記第２のセット内の前記複数の第２のサブセットフィルタのうちの１つを前記変換された第１のサブセットフィルタに置換するための手段を具備する請求項２８記載のコンピュータ。
31. フィルタの前記第１のセットとの第１のセキュリティアソシエーションを確立するための手段をさらに備え、パケットフィルタの前記第１のセットを変換するための手段は、パケットを前記確立された第１のセキュリティアソシエーションに正しくマッピングする請求項２７記載のコンピュータ。
32. パケットフィルタの前記第２のセットを変換するための手段は、
    パケットフィルタの前記変換された第１のセットと等しくなるようにパケットフィルタの前記第２のセットをセッティングするための手段を具備する請求項２７記載のコンピュータ。
33. パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換するための手段は、
    パケットフィルタの前記変換された第１のセットと等しくなるように前記第２のサブセットフィルタをセッティングするための手段を具備する請求項２９記載のコンピュータ。
34. パケットフィルタの前記第１のセットを複数のサブセットフィルタに分割するための手段と、
    前記複数のサブセットフィルタのうちの１つのための第１の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第１の子セキュリティアソシエーションを確立するための手段とをさらに備え、
    パケットフィルタの前記第２のセットを変換するための手段は、パケットを前記確立された第１の子セキュリティアソシエーションに正しくマッピングする請求項３１記載のコンピュータ。
35. パケットフィルタの前記第１のセット内の第３のサブセットフィルタのための第２の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第２の子セキュリティアソシエーションを確立するための手段をさらに具備する請求項３４記載のコンピュータ。
36. パケットフィルタの前記第１のセット内の第４のサブセットフィルタのための第３の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第３の子セキュリティアソシエーションを確立するための手段をさらに具備する請求項３５記載のコンピュータ。
37. ネットワーク経路内のインターネットプロトコル（ＩＰ）データパケットの処理がＩＰデータパケットの変更に起因してパケットフィルタを無効にすることを決定することと、
    変換されたパケットフィルタが前記変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために前記パケットフィルタを変換することと、
    前記変換されたパケットフィルタを前記ネットワーク経路内の少なくとも１つのルータに展開することとを具備するステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される有形の記憶媒体。
38. 前記有形の記憶媒体は、
    ＩＰデータパケットが前記ネットワーク経路の特定のノード内で変更された後に、前記所望のパケット分類を達成するために追加のトンネルを確立することを具備するさらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項３７記載の有形の記憶媒体。
39. 前記有形の記憶媒体は、
    ネットワーク経路内のパケットフィルタの第１のセットおよびパケットフィルタの第２のセットの交差を決定することと、
    パケットフィルタの変換された第１のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットを変換することと、
    パケットフィルタの変換された第２のセットが変更されたＩＰデータパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差に基づいて、パケットフィルタの前記第２のセットを変換することとを具備するさらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項３１記載の有形の記憶媒体。
40. 前記有形の記憶媒体は、
    変換された第１のサブセットフィルタが変更されたパケットの所望のパケット分類をもたらすようにするために、パケットフィルタの前記第１のセットを変換することがパケットフィルタの前記第１のセット内の第１のサブセットフィルタを変換することを具備するように、さらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項３９記載の有形の記憶媒体。
41. 前記有形の記憶媒体は、
    パケットフィルタの前記第２のセットを変換することが、パケットフィルタの前記第１のセットおよび前記第２のセットの前記決定された交差ならびにパケットフィルタの前記変換された第１のセットに基づいて、パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換することを具備するように、さらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項３９記載の有形の記憶媒体。
42. 前記有形の記憶媒体は、
    パケットフィルタの前記第２のセットが、複数の第２のサブセットフィルタを備え、
    パケットフィルタの前記第２のセットを変換することが、パケットフィルタの前記第２のセット内の前記複数の第２のサブセットフィルタのうちの１つを前記変換された第１のサブセットフィルタに置換することを具備するように、さらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項４０記載の有形の記憶媒体。
43. 前記有形の記憶媒体は、
    フィルタの前記第１のセットとの第１のセキュリティアソシエーションを確立することを具備するさらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納され、
    パケットフィルタの前記第１のセットを変換することは、パケットを前記確立された第１のセキュリティアソシエーションに正しくマッピングする請求項３９記載の有形の記憶媒体。
44. 前記有形の記憶媒体は、
    パケットフィルタの前記第２のセットを変換することが、パケットフィルタの前記変換された第１のセットと等しくなるようにパケットフィルタの前記第２のセットをセッティングすることを具備するように、さらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項３９記載の有形の記憶媒体。
45. 前記有形の記憶媒体は、
    パケットフィルタの前記第２のセット内の第２のサブセットフィルタを変換することが、パケットフィルタの前記変換された第１のセットと等しくなるように前記第２のサブセットフィルタをセッティングすることを具備するように、さらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項４１記載の有形の記憶媒体。
46. 前記有形の記憶媒体は、
    パケットフィルタの前記第１のセットを複数のサブセットフィルタに分割することと、
    前記複数のサブセットフィルタのうちの１つのための第１の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第１の子セキュリティアソシエーションを確立することとを具備するさらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納され、
    パケットフィルタの前記第２のセットを変換することは、パケットを前記確立された第１の子セキュリティアソシエーションに正しくマッピングする請求項４３記載の有形の記憶媒体。
47. 前記有形の記憶媒体は、
    パケットフィルタの前記第１のセット内の第３のサブセットフィルタのための第２の子セキュリティアソシエーションが前記第１のセキュリティアソシエーションと一致するように、前記第２の子セキュリティアソシエーションを確立することを具備するさらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項４６記載の有形の記憶媒体。
48. 前記有形の記憶媒体は、
    パケットフィルタの前記第１のセット内の第４のサブセットフィルタのための第３の子セキュリティアソシエーションが、前記第１のセキュリティアソシエーションと一致するように、前記第３の子セキュリティアソシエーションを確立することを具備するさらなるステップをコンピュータのプロセッサに実行させるように構成されたプロセッサ実行可能ソフトウェア命令がその上に格納される請求項４７記載の有形の記憶媒体。

Images