JP2014036422A - 複数網間でのフィルタリングシステム及び方法 - Google Patents

Abstract

【課題】 網間でのユーザの識別やフィルタリングポリシの連携を行うことで、ユーザや端末が同一である場合に、同一のポリシによるフィルタリングを実現する。
【解決手段】 本発明は、第１の網が、端末から端末情報を受信すると、第１の網から第２の網に該端末情報を送信して認証を要求し、第１の網が、第２の網によって端末が認証された場合に、該第２の網に対して、フィルタリングポリシを要求すると、第２の網が、端末情報と対応づけてポリシ記憶手段に格納されているフィルタリングポリシを第１の網に送信する。第１の網が、第２の網から取得したフィルタリングポリシに基づいて、端末から受信したパケットを通過させるかまたは破棄するかを判定し、通過させると判定されたパケットを外部ネットワークに送出する。
【選択図】 図２

Description

本発明は、複数網間でのフィルタリングシステム及び方法に係り、特に、固定網と移動網の双方に接続可能な端末（以下、デュアル端末と記す）において、移動事業者の提供する端末が固定回線を用いてインターネットアクセスを行う際に、移動網の回線を用いて接続する際に移動事業者が実施するフィルタリングと同等のフィルタリングを行うことを可能とするための複数網間でのフィルタリングシステム及び方法に関する。

第1の従来の技術として、複数網間で連携を行わず、移動網内でのみフィルタリングを実施するための技術がある。当該技術は、移動網内にフィルタリング機能を具備し、移動網内で管理している加入者情報に基づきフィルタリングを行う（例えば、非特許文献1参照）。この技術は、図1に示すように、端末ＡがWiFi（登録商標）接続した場合に、移動網を介した通信を行う端末Ｂは移動事業者の機能よりフィルタリングされるが、固定網に接続されたWiFi（登録商標）アクセスを経由してインターネットアクセスを行う端末Ａのパケットはフィルタリングされない。

第２の従来技術として、端末でのフィルタリングによって移動網、固定網どちらかに繋がっているときも同じフィルタリングを行う技術がある。この技術は、図２に示すように、端末内の専用ブラウザにフィルタリング機能を具備し、端末内にユーザが設定したポリシに基づき、フィルタリングを行う（例えば、非特許文献２参照）。この形態においては、当該パケットが経由する網の種別によらず、フィルタリングが可能である。

第３の従来技術として、現実のサービスとして実現していないものの、パケットを移動網に引き込むことで、移動網内においてフィルタリングする技術がある。当該技術は、図３に示すように、WiFi(登録商標)などの移動網以外のアクセスを経由する、インターネットアクセスなどのトラフィックを移動網に収容し、移動網内に保存してある加入者情報に基づき、移動網内に具備したフィルタリング機能によってフィルタリングする。この技術においては、当該パケットが経由する網の種別によらず、フィルタリングが可能である。

NTTドコモテクニカルジャーナルVol. 18 No.3 pp. 38-44. Yahoo Japan社 Yahoo!あんしんネット http://anshin.yahoo.co.jp/ (2012.6.13閲覧) 3GPP TS 23.402 "Architecture enhancements for non-3GPP accesses", v11.2.0, Mar. 2012. "Extensible Authentication Protocol Method for Global System for Mobile Communications (GSM) Subscriber Identity Modules (EAP-SIM)".

しかしながら、上記従来技術には以下のような問題がある。

第１の従来技術においては、固定移動網間でユーザの識別やフィルタリングポリシの連携が行われていないため、WiFi(登録商標)など移動網以外のアクセスを経由するトラフィックに対して、トラフィックを送受信する端末やユーザが同一であるにもかかわらず、同一のポリシによりフィルタリングすることができない。このため、携帯端末がWiFi(登録商標)など移動網以外のアクセスを用いた場合にフィルタリングを行うことができず、青少年の保護に支障をきたす。

この問題を解決するために、上記の第２の従来技術、第３の従来技術が提案されているが、これらの技術にも以下のような問題がある。

第２の従来技術においては、専用のブラウザを使用してフィルタリングを行っているが、指定外のブラウザを使った場合や、端末改造や端末初期化が行われた場合にはフィルタリングを行うことができない。また、端末設定用のパスワードは親権者が管理する必要があり、子供に漏れる可能性がある。この場合青少年の保護に支障をきたす。

第３の従来技術においては、移動事業者の管理する端末がWiFi（登録商標）を利用することは、移動網（無線アクセス及びコア網を含む）をオフロードしたいという移動事業者のニーズと、高速な通信を利用したいという端末のユーザのニーズに基づいている。一方、トラフィックを移動網に引き込む場合には移動網のリソースを消費することになり、また、網間でのトラフィックのやりとりの際にゲートウェイ装置の動作において遅延が発生する可能性がある。

本発明は、上記の点に鑑みなされたもので、網間でのユーザの識別やフィルタリングポリシの連携を行うことで、ユーザや端末が同一である場合に、同一のポリシによるフィルタリングを実現することが可能な複数網間でのフィルタリングシステム及び方法を提供することを目的とする。

上記の課題を解決するため、本発明は、第１の網と第２の網の両方に接続可能であり、第２の網によって、例えばパケットフィルタリングや認証、課金などの管理をされている端末が、第１の網を介して外部ネットワークと通信を行う際に第２の網におけるフィルタリングと同等のフィルタリングを行うための複数網間でのフィルタリングシステムであって、
前記第２の網は、
端末に対応するフィルタリングポリシ保持するポリシ記憶手段と、
前記第１の網から端末の特定及び認証のための端末情報を受信して該端末を認証する認証手段と、
前記第１の網から受信した前記端末の端末情報に基づいて、前記ポリシ記憶手段から該端末に対応するフィルタリングポリシを受信して前記第１の網に送出するポリシ送出手段と、
を有し、
前記第１の網は、
前記第２の網に対して前記端末の前記端末情報を送出し、認証を要求する認証要求手段と、
任意のタイミングで前記第２の網に対して前記端末の前記端末情報を送出し、該端末に対するフィルタリングポリシを取得するポリシ取得手段と、
前記フィルタリングポリシに基づいて、前記端末から受信したパケットを通過させるかまたは破棄するかを判定するフィルタリング手段と、
前記フィルタリング手段で通過させると判定されたパケットを前記外部ネットワークに送出するパケット通過手段と、を有する。

本発明によれば、たとえば移動網によって管理されているユーザ・端末（端末に具備されたSIM(Subscriber Identity Module)レベルの識別）の送受信するトラフィックについて、固定網、移動網のどちらの網を通る場合にも同一のポリシによるフィルタリングが可能となる。

第２の従来技術では、端末に設定されているポリシによりフィルタリングを行っていたが、この方式においては、ユーザによる端末改造や端末初期化によりフィルタが回避されてしまうという問題があったが、本発明によれば、固定網内のフィルタ機能でフィルタリングを行うため、この問題が発生しない。

また、第３の従来技術では、トラフィックを移動網に引き込むことによりフィルタリングを行う方式であり、移動事業者の網装置のリソースを消費してしまうという問題があったが、本発明によれば、トラフィックを移動網に流入させることなくフィルタリングを行うことができるため、固定網を用いた移動網のオフロードを活用することができる。

第1の従来技術の例である。 第２の従来技術の例である。 第３の従来技術の例である。 本発明の第1の実施の形態におけるシステム構成図である。 本発明の第1の実施の形態における端末接続時の流れを示す図である。 本発明の第1の実施の形態における端末接続時のシーケンスチャートである。 本発明の第1の実施の形態における端末通信時の流れを示す図である。 本発明の第1の実施の形態における端末通信時のシーケンスである。 本発明の第２の実施の形態における端末接続時のシーケンスチャートである。 本発明の第２の実施の形態における端末通信時のシーケンスチャートである。 本発明の第３の実施の形態における端末通信時のシーケンスチャートである。

以下、図面と共に本発明の実施の形態を説明する。

本発明は、移動網内において管理されているフィルタリングポリシを固定網に通知し、固定網内においてフィルタリングを行う。

また、固定網内においてフィルタリングを行う際には、固定網による端末の特定が必要になるが、この端末の特定には、ユーザが入力するID、パスワード、EAP-SIMなどの認証技術を用いる。なお、本明細書においては、端末の特定・認証のためにＩＤ、パスワードを用いるものとするが、これに限定されるものではない。

本発明では、端末には、グローバルIPアドレスが割り当てられており、WiFi（登録商標）アクセスポイント、家庭内ルータ、キャリア網内のルーティング装置などにおいて、NAT（Network Address Translation）、NAPT (Network Address Port Translation)が行われていないことを前提とする。

［第１の実施の形態］
図４は、本発明の第１の実施の形態におけるシステム構成を示す。

同図に示すシステムは、端末１００、固定網２００、移動網３００、外部ネットワーク４００からなる。外部ネットワーク４００は、例えば、インターネットあるいはインターネットサービスプロバイダ（ISP網）を指す。 固定網２００の基地局２１０、移動網３００の基地局３１０は、端末が接続する基地局であり、例えば、移動網３００においては、eNB、固定網２００においては、WiFi（登録商標）アクセスポイントなどを指す。

固定網２００のルータ２２０、移動網３００のルータ３３０は、各網内でトラフィックを転送する。

固定網２００のゲートウェイ２４０、移動網のゲートウェイ３５０は、各網から外部ネットワークへの接続を行う。

端末１００と外部ネットワーク４００との間でやり取りされるトラフィックは、上記の基地局２１０または基地局３１０、ルータ２２０またはルータ３３０、ゲートウェイ３４０またはゲートウェイ３５０、外部ネットワーク４００の４つの機能を持つ装置を経由する。

また、上記の基地局２１０または３１０、ルータ２２０または３３０、ゲートウェイ３４０またはゲートウェイ３５０、外部ネットワーク４００の４つの機能のうち、少なくとも１つ以上の機能は、端末の１００の送受信するトラフィックを、その内容に応じてフィルタリングする機能を含む。本明細書中では、網内トラフィックを転送するルータ２２０，３３０がフィルタリング機能を含むものとして記述するが、この例に限定されない。

移動網２００は、上記の機能に加えて、端末ユーザの認証・認可・アカウンティングを行うAAA(Authentication Authorization Accounting)サーバ３4０と、端末ユーザの加入者情報に基づき、フィルタルールを管理するフィルタＤＢ３２０を有する。

固定網２００は、上記の機能に加えて、端末１００が移動網AAAサーバ３４０に対して送信する認証メッセージを中継するAAAプロキシ２３０を有する。

ユーザが操作する端末１００は、無線及び有線などにより、固定網２００の基地局２１０に接続する機能と、移動網３００の基地局３１０に接続する機能を有する。また、当該端末１００内に保存した認証情報を用いて、移動網３００のAAAサーバ３４０から認証を受ける機能を有する。

次に、上記の構成における処理を説明する。

最初に、端末接続時の処理について説明する。

図５は、本発明の第１の実施の形態における端末接続時の流れを示し、図６は、そのシーケンスチャートである。

ステップ１０１） 端末１００は、固定網２００の基地局２１０に接続し、IDとPassを送信する。

ステップ１０２） 固定網２００の基地局２１０は、このＩＤとPassを固定網２００のルータ２２０を介してAAAプロキシ２３０に送信する。

ステップ１０３） AAAプロキシ２３０は、このIDとPassを移動網３００のAAAサーバ３４０に送信する。

ステップ１０４） AAAサーバ３４０は、IDとPassをキーにして端末１００を認証する。

ステップ１０５） AAAサーバ３４０は、当該端末１００に関するフィルタリングポリシをフィルタＤＢ３２０から取得する。

ステップ１０６） AAAサーバ３４０は、認証の成功を表すメッセージ及びフィルタリングポリシを、固定網２００のAAAプロキシ２３０に通知する。

ステップ１０７） AAAプロキシ２３０は、上記の認証の成功を表すメッセージ及びフィルタリングポリシを、固定網２００のルータ２２０に送信する。

ステップ１０８） 固定網２００のルータ２２０は、端末１００に対して払い出すIPアドレスとフィルタリングポリシを対応付けて自ルータ内のテーブル（図示せず）に保持する。

ステップ１０９） 固定網２００のルータ２２０は、固定網２００の基地局２１０を経由して、当該端末１００に対してIPアドレスを払い出す。

次に、端末の通信時の処理を説明する。

図７は、本発明の第１の実施の形態における端末の通信時の流れであり、図８はそのシーケンスチャートである。

ステップ２０１） 端末１００は、外部ネットワーク２００（例えば、インターネット）を宛先として、固定網２００の基地局２１０にパケットを送出する。

ステップ２０２） 固定網２００の基地局２１０は、ルータ２２０にパケットを転送する。

ステップ２０３） ルータ２２０は、IPパケットの送信元アドレスをキーに、自ルータ内のテーブル（図示せず）を参照し、当該パケットに関するフィルタリングポリシを抽出する。

ステップ２０４） ルータ２２０は、フィルタリングポリシ（例えば、IPパケットの送信元、宛先、ポート、プロトコルなどL3、L4の情報や、HTTPヘッダの内容などL7の情報や、日時などの情報の組み合わせが考えられるが、これに限定しない）に応じて、パケットの通過または破棄を決定する。

ステップ２０５） 上記のシーケンスにおいて、パケットの通過が判断された場合は、ルータ２１０は、ゲートウェイ（GW）２４０にパケットを転送する。

ステップ２０６） GW２４０は、外部ネットワーク４００に対してパケットを送出する。

なお、本実施の形態では、端末１００の認証は、ID、Passにより行われる平文認証を用いるとしているが、これに限定されることなく、例えば、チャレンジレスポンス認証や、EAP認証（例えば、端末内に具備されたハードウェアを用いるEAP-SIMなど）が考えられる。

また、本実施の形態では、ルータ２２０による端末１００に対するIPアドレスの払い出しを、認証完了及びポリシのコピー完了後としているが、これに限定されることなく、例えば、端末１００にIPアドレスを払い出してから認証を行う方法もある。

上記のステップ１０５〜１０８において、固定網２００のルータ２２０がフィルタリングポリシを移動網３００のAAAサーバ３４０から取得しているが、例えば以前使用したフィルタリングポリシをキャッシュして使用することも可能である。

本実施の形態では、端末１００が外部ネットワーク４００にパケットを送出するシーケンスについて説明しているが、外部ネットワーク４００から端末１００に対してパケットを送出するシーケンスも同様である。

［第２の実施の形態］
前述の第１の実施の形態においては、端末接続時（IPアドレス払い出し時）に移動網３００から固定網２００にフィルタリングポリシをコピーすることとしていたが、このポリシコピーのタイミングはこれに限定されるものではない。

本実施の形態におけるポリシコピーのタイミングは、例えば、端末接続後に周期的に行う方法、TCP(Transmission Control Protocol)コネクションが張られるタイミングで行う方法、等が考えられる。

以下では、一例として、外部ネットワーク４００上のサーバとの間にてTCPコネクションが張られるタイミングでポリシをコピーする動作について説明する。

システム構成は、第１の実施の形態と同様であるので、その説明を省略する。

本実施の形態における端末の接続時の処理を示す。

図９は、本発明の第２の実施の形態における端末の接続時のシーケンスチャートである。

ステップ３０１） 端末１００は、固定網２００の基地局２１０に接続し、IDとPassを送信する。

ステップ３０２） 固定網２００の基地局２１０は、このIDとPassを固定網２００のルータ２２０を介してAAAプロキシ２３０に送信する。

ステップ３０３） AAAプロキシ２３０は、このIDとPassを移動網３００のAAAサーバ３４０に送信する。

ステップ３０４） AAAサーバ３４０は、IDとPassをキーに端末１００を認証する。

ステップ３０５） AAAサーバ３４０は、認証の成功を表すメッセージをAAAプロキシ２３０に通知する。

ステップ３０６） AAAプロキシ２３０は、上記の認証の成功を表すメッセージを固定網２００のルータ２２０に送信する。

ステップ３０７） 固定網２００のルータ２２０は、当該端末１００に対して払い出すIPアドレスと上記のIDの関係を自らが保持するテーブル（図示せず）に格納する。

ステップ３０８） ルータ２２０は、固定網２００の基地局２１０を経由して端末１００に対してIPアドレスを払い出す。

次に、端末の通信時の処理を説明する。

図１０は、本発明の第２の実施の形態における端末の通信時のシーケンスチャートである。

ステップ４０１） 端末１００は、外部ネットワーク４００のアプリケーションサーバ（図示せず）との間にTCPコネクションを張るために、3ハンドシェークのSYNパケットを固定網２００の基地局２１０に送出する。

ステップ４０２） 固定網２００の基地局２１０は、ルータ２２０に端末１００から受信したパケットを転送する。

ステップ４０３） ルータ２２０は、IPパケットの送信元アドレスをキーに、自らが保持するテーブル（図示せず）から端末１００のIDを抽出する。

ステップ４０４） ルータ２２０は、端末１００のIDをキーに、移動網３００のルータ３３０から当該端末１００に関するフィルタリングポリシを取得する。なお、移動網３００のルータ３３０は、このとき、端末１００のIDをキーとしてフィルタDB３３０を検索し、対応するフィルタリングポリシを取得する。

ステップ４０５） ルータ２２０は、フィルタリグポリシ（例えば、IPパケットの送信元、宛先、ポート、プロトコルなどL3、L4の情報や、HTTPヘッダの内容なドL7の情報や、日時などの情報の組み合わせが考えられるがこれに限定されない）に応じて、パケットの通過、破棄を決定する。

ステップ４０６） 上記のシーケンスにおいて、パケットの通過と判断された場合は、ルータ２２０は、ゲートウェイ２４０にパケットを転送する。

ステップ４０７） ゲートウェイ２４０は、外部ネットワーク４００にパケットを送信する。

なお、本実施の形態において、端末１００の認証はID、Passにより行われる平文認証を用いるとしているが、これに限定されない。例えば、チャレンジレスポンス認証や、EAP認証（例えば、端末内に具備されたハードウェアを用いるEAP-SIMなど）が考えられる。

また、本実施の形態において、端末１００に対するIPアドレスの払い出しは、認証完了後としているが、これに限定されるものではなく、例えば、端末１００にIPアドレスを払い出してから認証を行う方法なども考えられる。

また、上記のステップ４０２〜４０４において、フィルタリングポリシを移動網３００のルータ３３０から取得しているが、例えば、以前使用したフィルタリングポリシをキャッシュして使用して用いることも考えられる。

上記では、端末１００から外部ネットワーク４００にパケットを送出するシーケンスを示しているが、外部ネットワーク４００から端末１００に対してパケットを送出するシーケンスも同様である。

［第３の実施の形態］
本実施の形態は、第1の実施の形態の端末の接続時の処理と、第２の実施の形態の端末の通信時の処理を組み合わせたものである。

本実施の形態において、端末接続時の動作は第２の実施の形態と同様であるので、その説明を省略する。

図１１は、本発明の第３の実施の形態における端末通信時のシーケンスチャートである。

第２の実施の形態では、TCPコネクション確立時にフィルタリングを行ったが、本実施の形態では、TCPコネクション確立時(ステップ５０１)にはフィルタリングは行わず、IPパケットを受信した後に（ステップ５０２）、IPパケットの送信元のアドレスに基づいて固定網ルータ２２０内のテーブルから端末のＩＤを抽出し（ステップ５０３）、移動網ルータ３３０に送信することで（ステップ５０４）、移動網ルータ３３０からフィルタリングポリシを受信し（ステップ５０５）、固定網ルータ２２０においてパケット毎にフィルタリングを行い、通過させるパケットを外部ネットワーク４００に送信する（ステップ５０６）。

なお、本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１００ 端末
２００ 固定網
２１０，３１０ 基地局
２２０，３３０ ルータ
２３０ AAAプロキシ
２４０，３４０ ゲートウェイ（GW）
３２０ フィルタＤＢ
３５０ AAAサーバ
４００ 外部ネットワーク

Claims (6)

1. 第１の網と第２の網の両方に接続可能な端末が、第１の網を介して外部ネットワークと通信を行う際に第２の網におけるフィルタリングと同等のフィルタリングを行うための複数網間でのフィルタリングシステムであって、
   前記第２の網は、
   端末に対応するフィルタリングポリシ保持するポリシ記憶手段と、
   前記第１の網から端末の特定及び認証のための端末情報を受信して該端末を認証する認証手段と、
   前記第１の網から受信した前記端末の端末情報に基づいて、前記ポリシ記憶手段から該端末に対応するフィルタリングポリシを取得して前記第１の網に送出するポリシ送出手段と、
   を有し、
   前記第１の網は、
   前記第２の網に対して前記端末の前記端末情報を送出し、認証を要求する認証要求手段と、
   任意のタイミングで前記第２の網に対して前記端末の前記端末情報を送出し、該端末に対するフィルタリングポリシを取得するポリシ取得手段と、
   前記フィルタリングポリシに基づいて、前記端末から受信したパケットを通過させるかまたは破棄するかを判定するフィルタリング手段と、
   前記フィルタリング手段で通過させると判定されたパケットを前記外部ネットワークに送出するパケット通過手段と、
   を有することを特徴とする複数網間でのフィルタリングシステム。
2. 前記ポリシ取得手段は、
   前記端末へのIPアドレスを払い出す端末接続時、または、該端末接続時以降に周期的に、または、IPパケットが到着する度に、または、TCP(Transmission Control Protocol)コネクションを確立する時点、あるいは、TCPコネクションが確立した時点、のいずれかのタイミングで前記フィルタポリシを取得する手段を含む
   請求項1記載の複数網間でのフィルタリングシステム。
3. 前記ポリシ取得手段は、
   前記第２の網から受信した前記フィルタリングポリシを記憶手段に格納する手段を含み、
   前記フィルタリング手段は、
   前記記憶手段に格納されている前記フィルタリングポリシを用いてパケットを通過させるか、または、破棄するかを判定する手段を含む
   請求項１記載の複数網内でのフィルタリングシステム。
4. 移動事業者から提供される第１の網と第２の網の両方に接続可能な端末が、第１の網を介して外部ネットワークと通信を行う際に第２の網におけるフィルタリングと同等のフィルタリングを行うための複数網間でのフィルタリング方法であって、
   前記第１の網が、前記端末から端末情報を受信すると、該第１の網から前記第２の網に該端末情報を送信して認証を要求する認証要求ステップと、
   前記第１の網が、前記第２の網によって前記端末が認証された場合に、該第２の網に対して、フィルタリングポリシを要求するポリシ要求ステップと、
   前記第２の網が、前記端末情報と対応づけてポリシ記憶手段に格納されているフィルタリングポリシを要求元の前記第１の網に送信するポリシ送信ステップと、
   前記第１の網が、前記第２の網からから前記フィルタリングポリシを取得するポリシ取得ステップと、
   前記第１の網が、前記フィルタリングポリシに基づいて、前記端末から受信した前記パケットを通過させるかまたは破棄するかを判定するフィルタリングステップと、
   前記フィルタリングステップで通過させると判定されたパケットを前記外部ネットワークに送出するパケット通過ステップと、
   を行うことを特徴とする複数網間でのフィルタリング方法。
5. 前記ポリシ受信ステップにおいて、
   前記端末へのIPアドレスを払い出す端末接続時、または、該端末接続時以降に周期的に、または、IPパケットが到着する度に、または、TCP(Transmission Control Protocol)コネクションを確立する時点、あるいは、TCPコネクションが確立した時点、のいずれかのタイミングで前記フィルタポリシを取得する
   請求項４記載の複数網間でのフィルタリング方法。
6. 前記ポリシ取得ステップにおいて、
   前記第２の網から受信した前記フィルタリングポリシを記憶手段に格納し、
   前記フィルタリングステップにおいて、
   前記記憶手段に格納されている前記フィルタリングポリシを用いてパケットを通過させるか、または、破棄するかを判定する
   請求項４記載の複数網内でのフィルタリング方法。

Images