JP2014502110A - パブリックネットワークにおけるプライベート装置の識別 - Google Patents

Abstract

パブリックネットワークにおいてプライベート装置の識別を可能にし、又はパブリックネットワークにおいてプライベート装置のトラフィックを処理するための方法、ネットワークアドレス変換（ＮＡＴ）装置、ネットワークノード及びシステム。ＮＡＴは、プライベートＩＰｖ４アドレスをプライベート装置に割り振り、当該プライベート装置についてパブリックＩＰｖ４アドレスのポートのブロックを予約し、及びパブリックネットワークにおけるネットワークノードに当該ポートのブロックの識別子を送信し得る。パブリックネットワークのネットワークノードは、ポートのブロックがプライベート装置について予約されていることを示す、パブリックＩＰｖ４アドレス上のポートのブロックの識別子を受信し、及びプライベート装置のトラフィックを処理するためのルールをアクティブ化し得る。
【選択図】図２

Description

本発明は、ＩＰｖ４アドレッシングに関し、特に、ネットワークアドレス変換装置の背後からのＩＰｖ４アドレッシング制限に関する。

インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）は、３２ビット（４バイト）のアドレスを用い、これはアドレス空間を４，２９４，９６７，２９６（２^３２）個の一意のＩＰｖ４アドレスの候補に制限する。幾つかのＩＰｖ４アドレスは、プライベートネットワーク（１８百万個までのＩＰｖ４アドレス）又はマルチキャストＩＰｖ４アドレス（２７０百万個までのＩＰｖ４アドレス）といった特別な目的のために予約される。その結果、パブリックインターネット上のルーティングのために潜在的に割り当てられることができるパブリックＩＰｖ４アドレスの数は削減される。さらに、パブリックＩＰｖ４アドレスは、様々な組織に割り当てられてきており及び割り当てられ続ける。パブリックＩＰｖ４アドレスの枯渇は、長期的にはＩＰバージョン６（ＩＰｖ６）の配備によって対処されることが期待される既知の問題である。しかしながら、広く配備され及び適当に機能しているシステムをＩＰｖ４からＩＰｖ６へ短中期的に変更する働きかけは、特に、既に割り当てられているパブリックＩＰｖ４アドレスの比較的大きなプールから利益を享受するプロバイダからは殆どない。例えばネットワークアドレス変換（ＮＡＴ：network address translation）をプライベートＩＰｖ４アドレスと共に用いるなどの解決策は、多くのプロバイダによって充分であると見なされている。プライベートＩＰｖ４アドレスは、パブリックネットワーク上で通信することができず、そのためにはＮＡＴ装置を通過しなければならないため、プライベートネットワーク及びプライベートマシンの外部ではルーティング可能ではない。

大抵の固定されたブロードバンドサービスプロバイダ（ＳＰ）は、特定の加入者のためのＮＡＴ装置として動作するレジデンシャルゲートウェイ（ＲＧ）に割り当てられる単一のパブリックＩＰｖ４アドレスを提供する。典型的に、当該加入者は、複数のＩＰｖ４装置をレジデンシャルゲートウェイ（ＲＧ）の背後に接続する。これらの装置には、ホームネットワークにおけるＲＧによって割り振られるプライベートＩＰｖ４アドレスが割り当てられ、これらの装置全てが、ＮＡＴを用いて、ＳＰからＲＧに割り当てられた同じ単一のパブリックＩＰｖ４アドレスを共有する。

幾つかの固定及びモバイルＳＰは、固定／モバイルコンバージェンス又は相互作用ネットワークビジネスモデルへと移行しており、固定／モバイルＳＰに、又はさもなければ当該ＳＰの加入者に固定／モバイルＳＰを提示するためのパートナになる。これらの例示的なビジネスモデルにおいて、装置は、当該装置の固定／モバイルＳＰからサービスを得るために如何なるネットワークアクセスタイプも用いることが可能であるべきである。より具体的な例は、固定／モバイルＳＰによって提供されるＲＧに無線ローカルエリアネットワーク（ＷＬＡＮ又はＷｉＦｉ）上で接続する第３世代パートナシッププロジェクト（３ＧＰＰ）のユーザ機器（ＵＥ）モバイル装置に関与する。

残念ながら、ＮＡＴ及びプライベートＩＰｖ４アドレスに基づく現在のアドレッシングスキームは、適切に提供されるべきサービスについてＳＰネットワークにおける適当な装置識別（device identification）を提供しない。本発明は、前述された問題に少なくとも部分的な解決策を提供することを目的とする。

本発明の第１の観点は、パブリックネットワークにおいてプライベート装置の識別を可能にするための方法を対象とする。当該方法は、ネットワークアドレス変換装置において、プライベート装置にプライベートＩＰｖ４アドレスを割り振るステップ、を含む。ネットワークアドレス変換装置は、パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを有し、プライベート装置は、パブリックネットワーク中には存在しない。上記方法は、ネットワークアドレス変換装置において、プライベート装置についてパブリックＩＰｖ４アドレス上の複数のポートのブロック（a block of ports）を予約するステップと、当該ポートのブロックの識別子をパブリックネットワークにおけるネットワークノードに送信するステップと、も含む。

随意的に、上記方法は、ネットワークアドレス変換装置において、プライベート装置から、パブリックネットワークに向けての接続要求を受信するステップと、プライベート装置について予約されたポートのブロックからの少なくとも１つのポートを用いて、パブリックネットワーク上で当該接続要求を転送するステップと、をさらに含んでもよい。

ポートのブロックの識別子を送信するステップは、随意的に、パブリックネットワークにおけるネットワークノードにプライベート装置の識別子を送信することをさらに含んでもよい。パブリックネットワークは、ＩＰｖ６ネットワークであってもよく、パブリックＩＰｖ４アドレスは、後方互換性を確保するためにＩＰｖ６アドレスにおいて表されてもよい。ポートのブロックは、少なくとも２つのポートの非隣接グループ又は隣接グループであってもよい。

本発明の第２の観点は、パブリックネットワークにおいてプライベート装置のトラフィックを処理するための方法を対象とし、当該プライベート装置は、パブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置の背後に位置する。上記方法は、パブリックネットワークのネットワークノードにおいて、ポートのブロックがプライベート装置について予約されていることを示す、パブリックＩＰｖ４アドレス上のポートのブロックの識別子を受信するステップと、プライベート装置のトラフィックを処理するためのルールをアクティブ化するステップと、を含む。

随意的に、上記方法は、パブリックネットワークのネットワークノードにおいて、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスを送信元アドレスとする（addressed from）トラフィックを受信するステップと、受信されたトラフィックをプライベート装置のトラフィックとして識別するステップと、プライベート装置のトラフィックにルールを適用するステップと、トラフィックをその宛先にむけてパブリックネットワークにおいて転送するステップと、をさらに含んでもよい。

プライベート装置のトラフィックを処理するためのルールをアクティブ化するステップは、随意的に、ポートのブロックの識別子の受信時にルールをアクティブ化する前に、パブリックネットワークの別のネットワークノードからルールを受信すること、又は、ポートのブロックの識別子の受信時にルールを生成し及びアクティブ化すること、をさらに含んでもよい。

パブリックＩＰｖ４アドレス上のポートのブロックの識別子を受信するステップは、随意的に、ネットワークアドレス変換装置からプライベート装置の識別子を受信すること、をさらに含んでもよく、上記方法は、ルールをアクティブ化する前に、パブリックネットワークのネットワークノードにおいてプライベート装置の識別子を認証機能とのその認証期間中に傍受する（intercepting）ステップ、又は、ルールをアクティブ化する前に、パブリックネットワークのネットワークノードにおいて認証機能によるプライベート装置の認証に続きプライベートの識別子を当該認証機能から受信するステップ、をさらに含んでもよい。

本発明の第３の観点は、アドレス管理モジュールと、ネットワークアドレス変換モジュールと、を備える、通信ネットワークにおけるネットワークノードを対象とする。アドレス管理モジュールは、パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを割り当てられ、及び、パブリックネットワーク中には存在しないプライベート装置にプライベートＩＰｖ４アドレスを割り当てる。ネットワークアドレス変換モジュールは、プライベート装置についてパブリックＩＰｖ４アドレス上のポートのブロックを予約し、及び、パブリックネットワークにおけるさらなるネットワークノードに当該ポートのブロックの識別子を送信する。

随意的に、ネットワークアドレス変換モジュールは、プライベート装置から、パブリックネットワークに向けての接続要求をさらに受信し、及びプライベート装置について予約されたポートのブロックからの少なくとも１つのポートを用いて当該接続要求をパブリックネットワーク上で転送してもよい。ネットワークアドレス変換モジュールは、ポートのブロックの識別子をプライベート装置の識別子と共にパブリックネットワークにおけるさらなるネットワークノードに送信してもよい。

本発明の第４の観点は、パブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置と通信する、パブリックネットワークにおけるネットワークノードを対象とする。プライベート装置は、ネットワークアドレス変換装置の背後に位置し、パブリックネットワーク中には存在しない。上記ネットワークノードは、ポートのブロックがプライベート装置について予約されていることを示す、パブリックＩＰｖ４アドレス上のポートのブロックの識別子を受信し、及び、プライベート装置のトラフィックを処理するためのルールをアクティブ化するトラフィック処理モジュールを備える。

随意的に、トラフィック処理モジュールは、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスを送信元アドレスとするトラフィックを受信し、受信されたトラフィックをプライベート装置のトラフィックとして識別し、プライベート装置のトラフィックにルールを適用し、及び、トラフィックをその宛先に向けてパブリックネットワークにおいて転送してもよい。

前記トラフィック処理モジュールは、随意的に、さらに、ポートのブロックの識別子の受信時にルールをアクティブ化する前に、パブリックネットワークの別のネットワークノードからルールを受信し、又は、ポートのブロックの識別子の受信時にルールを生成し及びアクティブ化することによって、プライベート装置のトラフィックを処理するためのルールをアクティブ化してもよい。

トラフィック処理モジュールは、随意的に、ネットワークアドレス変換装置から、プライベート装置の識別子をパブリックＩＰｖ４アドレス上のポートのブロックの識別子と共にさらに受信してもよく、この場合において、トラフィック処理モジュールは、さらに、ルールをアクティブ化する前に、プライベート装置の識別子を認証機能とのその認証期間中に傍受し、又は、認証機能によるプライベート装置の認証に続き当該認証機能からプライベートの識別子を受信してもよい。

本発明の第５の観点は、パブリックネットワークにおいてプライベート装置の識別を可能にするためのシステムを対象とする。当該システムは、パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置と、パブリックネットワークにおけるネットワークノードと、を備える。

ネットワークアドレス変換装置は、パブリックネットワーク中には存在しないプライベート装置にプライベートＩＰｖ４アドレスを割り振り、プライベート装置についてパブリックＩＰｖ４アドレス上のポートのブロックを予約し、及びパブリックネットワークにおけるネットワークノードにポートのブロックの識別子を送信する。パブリックネットワークにおけるネットワークノードは、ポートのブロックがプライベート装置について予約されていることを示す、パブリックＩＰｖ４アドレス上のポートのブロックの識別子を受信し、及び、プライベート装置のトラフィックを処理するためのルールをアクティブ化する。

随意的に、ネットワークアドレス変換装置は、パブリックネットワークにおけるネットワークノードにプライベート装置の識別子をポートのブロックの前記識別子と共にさらに送信してもよく、パブリックネットワークにおけるネットワークノードは、ルールをアクティブ化する前に、さらに、プライベート装置の識別子を認証機能とのその認証期間中に傍受し、又は、認証機能によるプライベート装置の認証に続き当該認証機能からプライベートの識別子を受信してもよい。

ネットワークアドレス変換装置は、随意的に、さらに、プライベート装置から、パブリックネットワークに向けてのトラフィックを受信し、及び、プライベート装置について予約されたポートのブロックからの少なくとも１つのポートを用いてパブリックネットワーク上で当該トラフィックを転送してもよい。パブリックネットワークのネットワークノードは、さらに、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスを送信元アドレスとするトラフィックを受信し、受信されたトラフィックを前記プライベート装置のトラフィックとして識別し、及び、プライベート装置のトラフィックにルールを適用してもよい。

パブリックＩＰｖ４アドレス上のポートのブロックの識別子は、プライベート装置のパブリック識別子と共に１つのパブリックレジストリにさらに登録されてもよい。上記システムは、プライベート装置のパブリック識別子を用いて、プライベート装置について予約されたポートのブロックの識別子をパブリックレジストリから取得し、及び、インカミングトラフィックをプライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスに送信する、対応ノード、をさらに備えてもよい。パブリックネットワークのネットワークノードは、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスを宛て先アドレスとする（addressed to）インカミングトラフィックを受信し、当該インカミングトラフィックをプライベート装置のインカミングトラフィックとして識別し、プライベート装置のインカミングトラフィックにルールを適用し、及び、インカミングトラフィックをネットワークアドレス変換装置に向けて転送してもよい。ネットワークアドレス変換装置は、さらに、パブリックネットワークから、プライベート装置についてのインカミングトラフィックをプライベート装置について予約されたポートのブロックからの少なくとも１つのポート上で受信し、及び、当該インカミングトラフィックをプライベート装置に転送してもよい。

添付の図面において：

本発明の教示に係る例示的なネットワークの表現である。 本発明の教示に係る、パブリックネットワークにおいて第１の例示的なプライベート装置の識別を可能にするための例示的なフロー及びノードの動作チャートである。 本発明の教示に係る、パブリックネットワークにおいて第２の例示的なプライベート装置の識別を可能にするための例示的なフロー及びノードの動作チャートである。 本発明の教示に係る、パブリックネットワークにおいてプライベート装置の識別を可能にするための例示的なフローチャートである。 本発明の教示に係る、パブリックネットワークにおいて例示的なプライベート装置の識別を可能にするための第１のネットワークノードの例示的なモジュール表現である。 本発明の教示に係る、パブリックネットワークにおいて例示的なプライベート装置の識別を可能にするための第２のネットワークノードの例示的なモジュール表現である。

ユーザ装置は、プライベートＩＰｖ４アドレスを有し、及びＮＡＴ装置に接続される。ＮＡＴ装置は、当該ＮＡＴ装置に割り当てられたパブリックＩＰｖ４アドレスを有する。本発明の実施形態は、ＮＡＴ装置のパブリック側におけるノードにおいてユーザ装置が識別されることを可能にする。これは、ユーザ装置についての、ＮＡＴ装置におけるパブリックＩＰｖ４アドレス上のポートのグループの予約と、ＮＡＴ装置から当該ＮＡＴ装置のパブリック側におけるノードへの、予約されたポートのグループの通信と、を通じて達成される。

幾つかのより具体的な実施形態において、ＮＡＴ装置として動作するレジデンシャルゲートウェイ（ＲＧ）は、パブリックＩＰｖ４アドレスを用いて、サービスプロバイダネットワークにおけるＩＰエッジノード（又はボーダエッジノード又はボーダーノード）に接続される。ＩＰエッジノードは、ＲＧ（例えば、３ＧＰＰのＵＥモバイル装置）を通じて接続される特定の装置に、例えばＱｏＳ、フィルタリング等（例えば、ポリシーエンフォースメント）を適用することに関与する。そのような装置がＲＧに接続されると、ＲＧは、プライベートＩＰｖ４アドレスを接続中の装置に割り振り、及び当該接続中の装置についてＲＧのパブリックＩＰｖ４アドレス上のポートのグループを予約する。ＲＧは、予約されたポートのグループの識別子を、後で使用する可能性のためにＩＰエッジノードに送信することができる。ＲＧにおいて装置からパブリックアドレスについてのトラフィックが受信される場合、パブリックＩＰｖ４アドレス上の予約されたポートのうちの１つが用いられる。従って、本発明は、必要な場合はいつでも、装置がＮＡＴ装置の背後に存在していても、ＩＰエッジノードにおける当該装置の適当な識別を可能にする。これは、ＩＰエッジノードにおける求められるトラフィック処理を可能にし得る。

ここで図面を参照すると、図１は、本発明の教示に係る例示的なネットワーク１００の表現を示す。例示的なネットワーク１００は、レジデンシャルゲートウェイ（ＲＧ）１１０を示し、当該ＲＧ１１０に向けて１つ以上のユーザ装置が接続される。図１の例において、パーソナルコンピュータ（ＰＣ）１１２、ユーザ機器（ＵＥ）１１４、及びセットトップボックス（ＳＴＢ）１１６が示される。装置１１２〜１１６とＲＧ１１０との間の種々のタイプのネットワーク接続（例えば、ＷＬＡＮ若しくはＷＩＦＩ、ＬＡＮ）は、本発明の教示に影響を及ぼすことなく存在することができる。ＲＧ１１０は、プライベート（又は、ホーム）ネットワーク１１８を定義する。当業者は、図１のプライベートネットワーク１１８が例を提示すること、及び様々な装置の多くの他の組み合わせがＲＧ１１０などのネットワークノードへ接続できることを容易に認識するであろう。

ＲＧ１１０は、図１上でＩＰエッジノード１３０として表されるボーダーノード１３０に向けてアクセスネットワーク１２０（又は、広域ネットワーク（ＷＡＮ：Wide Area Network））に接続される。ＲＧ１１０は、アクセスノード１２２を介してＩＰエッジノード１３０に向けて接続される可能性が高い。アクセスノード１２２の機能性は、ＩＰエッジノード１３０に一体化されてもよい。言うまでもなく、アクセスネットワーク１２０は、当該アクセスネットワーク１２０にさらに多くの加入者を接続する複数のレジデンシャルゲートウェイ（図示せず）を備える可能性が高い。

ＩＰエッジノード１３０は、サービスプロバイダネットワーク１４０及びパブリックインターネット１５０に接続する。認証機能は、ＩＰエッジノード１３０に利用可能であり得る。図１は、同時に存在し得るがサービスプロバイダネットワーク１４０において相互排他的な可能性が高い２つの例示的な認証機能を示す。１つの例示的な認証機能１３２Ａは、ＩＰエッジノード１３０と同一の場所に配置され又は一体化される一方、もう１つの例示的な認証機能１３２Ｂは、サービスプロバイダネットワーク１４０における別個のネットワークノードの一部である。エレメント１３２への言及が為される場合、認証機能１３２Ａ及び１３２Ｂのうちの一方又は他方への言及が為されると理解されるべきである。認証機能１３２の例は、認証、承認及びアカウンティング（ＡＡＡ：Authentication, Authorization and Accounting）サーバを含む。

当業者は、図１の例示的なネットワーク１００が（中間ルータ、コアルータ、動的ホスト構成プロトコル（ＤＨＣＰ：Dynamic Host Configuration Protocol）サーバ、ホーム加入者サーバ（ＨＳＳ：Home Subscriber Server）等といった）さらに多くのネットワークノード及びネットワーク機能を備える可能性が高いことを容易に認識するであろう。本発明は、それによって影響を受けない。

本発明を例示するために、図１の例示的なＲＧ１１０は、レイヤ３モード又はルーテッドモードにおいて動作される。ＲＧ１１０は、ＩＰエッジノード１３０又はアクセスネットワーク１２０若しくはサービスプロバイダネットワーク１４０の別のノード（図示せず）から、パブリックＩＰｖ４アドレスを取得する。ＲＧ１１０は、取得されたパブリックＩＰｖ４アドレスを、アクセスネットワーク１２０を介して行われる全ての通信について用いる。ＲＧ１１０は、プライベートネットワーク１１８を定義し、及び当該プライベートネットワーク１１８内の全ての装置（１１２〜１１６）についてのデフォルトのレイヤ３ゲートウェイとして構成される。各装置（１１２〜１１６）は、当該装置についてのネットワークアドレス変換（ＮＡＴ）装置として動作するＲＧ１１０から、プライベートＩＰｖ４アドレスを取得する。さらに詳細には、及びＮＡＴの一例として、パブリックＩＰｖ４アドレスにアクセスするための接続要求がＰＣ１１２からＲＧ１１０において（即ち、プライベートネットワーク１１８において）受信されると、ＲＧ１１０は、そのパブリックＩＰｖ４アドレス上のポートを開放し、及び上記要求を当該ポートを介してアクセスネットワーク１２０において転送する。上記要求に対応する応答が開放されたポート上で受信される場合、当該応答はプライベートネットワーク１１８においてＲＧ１１０によってＰＣ１１２に転送される。大抵の状況において、ＰＣ１１２は、ＲＧ１１０がＮＡＴ装置として動作することを認識せず及び認識する必要もない。

認識され得るように、この例示的なシナリオにおいては、ＲＧ１１０に接続される複数のＩＰｖ４ホスト又は装置（１１２〜１１６）がネットワークアドレス変換の使用を通じてＲＧ１１０のＩＰｖ４アドレスを共有する。そのため、各装置（１１２〜１１６）の個別のプライベートＩＰｖ４アドレスは、ＲＧ１１０において除去され、その単一のパブリックＩＰｖ４アドレスが選択される。結果として、ＩＰエッジノード１３０は、どのＩＰｖ４ホストが要求を送信し又は受信しているのかを判定することができず、それ故に、ＲＧ１１０の背後に位置する装置（１１２〜１１６）にトラフィック処理を適合させることができない。トラフィック処理の例は、ＱｏＳ（Quality of Service）サービス、加入者ベースポリシー制御及びホスト単位でのトラフィックスケジューリング等を含む。ＲＧ１１０の背後にある装置を識別することができないことは、そのホーム３ＧＰＰネットワーク（図示せず）及び／又はサービスプロバイダネットワーク１４０からサービスを取得する必要があり得るＵＥ１１４の例において、より大きな問題となる。上記に示されるように、ＩＰエッジノード１３０は、ＵＥ１１４がＲＧ１１０に接続されるその他の装置（１１２、１１６）と共有するパブリックＩＰｖ４アドレスに基づいて、ＵＥ１１４のトラフィックを実際には分類することができない。

特定の装置及び／又は加入者がＩＰエッジノード１３０において識別される必要がある他の例示的なトラフィック処理サービス（又は、動的ポリシー制御及びサービス）は、以下を含む：
・トラフィックフィルタリング；
・合法的傍受（lawful intercept）；
・Ｅ−９１１サービス；
・ビリング及びアカウンティングの提供；
・インテリジェントポリシーベースルーティング；
・ＵＥ１１４のトラフィックのホーム３ＧＰＰネットワークへのトンネリング；等。

ここで図２を参照すると、図２は、本発明の教示に係る、パブリックネットワーク（例えば、１４０、１５０）においてプライベート装置（例えば、１１２〜１１６）の識別を可能にするためのシステムの例示的なフローチャートを示す。図２上に示されるノード１１０、１１４、１３０及び１３２は、図１の例にも示される。

図２の例において、ＵＥ１１４は、最初にＵＥ１１４自体を認証機能１３２により認証する必要があり得る。認証を達成するための多くの異なる可能性のうちの２つ（２０２、２１０）が、図２に示される。第１のオプション２０２は、ＵＥ１１４に認証機能１３２との通信（２０４）を達成させることによって認証を達成する。様々な認証プロトコル又は単純なメッセージ交換が通信２０４の期間中に用いられ得る。一例は、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）プロトコルセッションである。通信２０４において多数の異なるメッセージが存在し得る。本例の目的のためには、ＵＥ１１４が認証機能１３２により認証されることを考慮すれば充分である。一旦これが達成されると、認証機能１３２は、ＵＥ１１４の認証識別子２０６をＩＰエッジノード１３０に送信し得る。留意されるべき点は、この第１のオプション２０２において、通信２０４が認証の結果に影響を及ぼすことなくＩＰエッジノード１３０を含んでも又は含まなくてもよい点である。通信２０４にＩＰエッジノード１３０が関与する場合、ＩＰエッジノード１３０はＵＥの認証識別子２０６を傍受したかもしれないため、ＵＥの認証識別子２０６をＩＰエッジノード１３０に送信することは必要とされないことがあり得る。

第２のオプション２１０において、ＩＰエッジノード１３０は、プロキシ認証機能（例えば、プロキシＲＡＤＩＵＳ）としての役割を果たすことができる。ＵＥ１１４は、例えばＲＡＤＩＵＳプロトコルセッションを用いて、ＩＰエッジノード１３０との通信（２１２）を確立する。ＩＰエッジノード１３０は、例えば同じ認証プロトコル（即ち、ＲＡＤＩＵＳ）を用いて、認証機能１３２と通信２１４する。ＩＰエッジノード１３０は、認証２１０に直接関与するため、ＵＥ１１４の認証識別子を認証機能１３２から送信する必要無しに取得する可能性が高い。しかしながら、ＩＰエッジノード１３０がＵＥ１１４の認証識別子を取得しても、認証機能１３２は、ＵＥ１１４の認証識別子をＩＰエッジノード１３０に送信してもよい（図示せず）。例えば、ＩＰエッジ１３０は、できる限り認証識別子を傍受するように随意的に構成され、及び認証機能１３２は、認証識別子をＩＰエッジノード１３０に常に送信するように随意的に構成され得る。

ＵＥ１１４の認証（２０２又は２１０）が必要であった場合、ＲＧ１１０は、ＵＥ１１４が成功裏に認証されたことを知ることが可能である可能性が高いであろう。ＲＧ１１０は、ＵＥ１１４の認証識別子を傍受すること（図示せず）も可能であり得る。認証識別子という用語は、実際には、認証機能１３２がＵＥ１１４を一意に識別することを可能にする任意の識別子を表し得ることに留意すべきである。認証が必要ではない場合又はノードが異なった手法で構成される場合、任意の他の識別子も用いられ得る。

図２の例は、プライベートネットワーク１１８においては有効であるがパブリックネットワーク（例えば、１２０、１４０、１５０）においては有効ではないプライベートＩＰｖ４アドレスをＵＥ１１４が取得２２０することに続く。例えば、そのプライベートＩＰｖ４アドレスを取得するために、ＵＥ１１４は、ＤＨＣＰ＿Ｄｉｓｃｏｖｅｒ（図示せず）をＲＧ１１０に送信してもよく、ＲＧ１１０は、ＵＥ１１４にプライベートＩＰｖ４アドレスを提供するＤＨＣＰ＿Ｏｆｆｅｒ（図示せず）をＵＥ１１４に送信するであろう。ＵＥ１１４は、提供されたプライベートＩＰｖ４アドレスを受け入れるために、ＤＨＣＰ＿Ｒｅｑｕｅｓｔ（図示せず）をＲＧ１１０に送信することによって応答するであろう。ＲＧ１１０は、ＤＨＣＰ＿Ａｃｋ（図示せず）をＵＥ１１４に送信することによって、割り当てられたプライベートＩＰｖ４アドレスを確認応答し、それによってＵＥ１１４へのプライベートＩＰｖ４アドレスの割り当てを完了させるであろう。ＵＥ１１４は、ＲＧ１１０により静的に構成されるプライベートＩＰｖ４アドレスを用いるように構成されてもよい。静的に構成されるプライベートＩＰｖ４アドレスを用いても、ＲＧ１１０は、ＵＥ１１４にトラフィックをルーティングすることを可能とするために、少なくともアドレス管理の観点から、依然としてＵＥ１１４にプライベートＩＰｖ４アドレスを割り振る必要がある。

ＩＰｖ４アドレスの割り振り２２０に続いて、ＲＧ１１０は、ＵＥ１１４に割り当てられたプライベートＩＰｖ４アドレスに基づいて、ＵＥ１１４についてのポートのブロックを予約２２２する。これは、例えば、ＲＧ１１０に接続される特に３ＧＰＰの装置又は全てのプライベートＩＰｖ４ホストについて為されることができる。上記予約２２２に続き、ＲＧ１１０は、ＵＥ１１４について予約されたポートのブロックの識別子２２４を送信し、及びＵＥ１１４の認証識別子もＩＰエッジノード１３０に送信し得る。ＲＧ１１０は、ポートのブロックの識別子を送信する際、そのパブリックＩＰｖ４アドレスをソースアドレスとして暗黙的に送信する。それにかかわらず、パブリックＩＰｖ４アドレスは、同じメッセージ中に明示的にも含まれ得る。ＵＥ１１４について予約されるポートのブロックの識別子は、数値範囲又は数値のリストから成る可能性が高い。複数のポートを所定の手法でグループ化し、グループ識別子をポートのブロックの識別子として提供するという決定をすることもできる。ＩＰのコンテキストにおいて用いられる、ポートについての数値は、０から６５５３５に及び、多くの範囲及び特定の値が予約される。予約されるポートの数が判定される手法及び実際の数値は、本発明に影響を及ぼさない。

ＩＰエッジノード１３０は、ＵＥ１１４について予約されたポートのブロックの識別子を受信し、及びＲＧ１１０からＵＥ１１４の認証識別子を受信し得る。ＩＰエッジノード１３０は、ＲＧ１１０のパブリックＩＰｖ４アドレスも暗黙的又は明示的に取得する。ＩＰエッジノード１３０は、認証手続き２０２又は２１０の期間中に、ＵＥ１１４の認証識別子を既に取得していることがある。そのような例において、ＩＰエッジノード１３０は、ＵＥ１１４の２つの同一の認証識別子を相互に関連付け、及びＵＥ１１４をパブリックＩＰｖ４アドレスのポートのブロックに適当に関連付けることが可能である。ＵＥ１１４の認証識別子が提供されない場合、ＩＰエッジノード１３０は、（もし存在すれば）認証識別子又は別の識別子を要求するように構成され得る。要求は、ＲＧ１１０を又は（例えば、ＵＥ１１４について予約されたポートのブロックのうちの１つ以上を用いて）ＵＥ１１４を直接的に宛て先アドレスとし得る。一旦パブリックＩＰｖ４アドレス上のポートのブロックがＵＥ１１４に関連付けられると、ＩＰエッジノード１３０は、ＵＥ１１４のトラフィックを処理するための適切なルールをアクティブ化２２６する（生成し又はさもなければインストールする）ことが可能である。ＵＥ１１４に関連する１つ以上のルールは、ＩＰエッジノード１３０において生成され、又は（例えば、認証手続き２０２又は２１０の一部として）認証機能１３２若しくはネットワーク１００における別のノード（図示せず）（例えば、ＨＳＳ、若しくはネットワーク１４０若しくはＵＥ１１４のホームネットワーク（図示せず）における他の管理ノード）から受信され得る。

ＵＥ１１４へのプライベートＩＰｖ４アドレスの割り当てに続き、ＵＥ１１４は、ある時点において、パブリックネットワーク（例えば、１４０又は１５０）に向けてトラフィック２２８を送信し始め得る。当該トラフィックは、ＲＧ１１０において傍受される。ＲＧ１１０は、当該トラフィック２２８にＮＡＴ２３０を適用する。例えば、ＮＡＴ２３０は、ＲＧ１１０において、プライベートＩＰｖ４アドレス及びＵＥ１１４から受信されるポートをＲＧ１１０のパブリックＩＰｖ４アドレス及びＵＥ１１４について予約されるポートのブロックのうちの１つのポートとスワッピングすることによって提供されることができる。ＲＧ１１０は、ＵＥトラフィック２３２をその目的地に向けて転送し、それによって、ＩＰエッジノード１３０に到達する。

ＩＰエッジノード１３０は、ＵＥトラフィック２３２を受信し、当該トラフィック中のポート情報とＵＥ１１４について予約されたポートのブロックの識別子とを比較することによって、受信されたトラフィックをＵＥ１１４のトラフィックとして識別することが可能である。ＩＰエッジノード１３０は、ＵＥ１１４のＵＥトラフィック２３２にルールを適用２３４することが可能である。妥当な場合（例えば、ＩＰエッジノード１３０以外の別のノードを宛て先アドレスとし、且つトラフィック処理がそれを許可する場合）、ＩＰエッジノード１３０は、パブリックネットワーク（例えば、１４０又は１５０）においてＵＥトラフィック２３６を転送することが可能である。

ＵＥトラフィック２３６に関連する任意の応答（例えば、ＵＥトラフィック２３８）は、ＩＰエッジノード１３０において受信されるであろう。ＩＰエッジノード１３０は、ＲＧ１１０にＵＥトラフィック２４０を転送する前に、ＵＥトラフィック２３８に同じ若しくは異なるルールを適用しても（図示せず）又は如何なるルールも適用しなくてもよい。ＲＧ１１０は、ＵＥトラフィック２３８にＮＡＴ２４２を適用し、及びＵＥ１１４にそのプライベートＩＰｖ４アドレスを用いてトラフィック２４４を転送する。

ＲＧ１１０のパブリックＩＰｖ４アドレス上の、ＵＥ１１４について予約されたポートのブロックの識別子は、ＵＥ１１４のパブリック識別子と共に１つのパブリックレジストリに（例えば、ＤＮＳ又はＳＩＰレジストリ内に）さらに登録（２５０）され得る。登録は、ＵＥ１１４がＲＧ１１０のパブリックＩＰｖ４アドレス及びＵＥ１１４について予約されたポートのブロックを認識している場合、ＵＥ１１４によって実行され得る。登録は、ＵＥ１１４からの要求に応じて又は通常の手続きとして、ＲＧ１１０によっても実行され得る。このシナリオにおいて、対応ノード（図示せず）は、ＵＥ１１４のパブリック識別子を用いて、ＵＥ１１４について予約されたポートのブロックの識別子をレジストリから取得し、及びＵＥ１１４についてのＵＥトラフィック２５２を自発的に（且つ、必ずしもＵＥトラフィック２３６について示されるような応答としてではなく）送信することが可能であろう。対応ノードは、ＵＥ１１４について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスをＵＥトラフィック２５２の宛て先とするであろう。

ＵＥトラフィック２５２の受信に続き、ＩＰエッジノード１３０は、（例えば、それが自発的な通信であって応答ではないことを考慮するかしないかによらず）ＵＥトラフィック２５６をＲＧ１１０に転送する前に、同じ又は異なるルールをＵＥトラフィック２５２に適用（２５４）し得る。ＲＧ１１０は、ＵＥトラフィック２５６にＮＡＴ２５８を適用し、及びＵＥ１１４にそのプライベートＩＰｖ４アドレスを用いてトラフィック２６０を転送する。ＲＧ１１０は、トラフィック２５６中の他の情報（例えば、他のヘッダフィールド又はペイロード）を用いて、プライベートＩＰｖ４アドレスのどのポートにトラフィック２６０が送信されるべきかを判定し得る。あるいは、ＵＥ１１４について予約されたポートのブロックとそのプライベートＩＰｖ４アドレス上で用いられるべきポートとのマッピングも存在し得る。さらに別の代替案は、全てのインカミングトラフィック２６０について１つの所定のポート（又は、ポート範囲）を用いることである。

言うまでもなく、ＵＥ１１４をプライベート装置として用いる図２の例は、実例となる例であって、唯一の可能性として解釈されるべきではない。より確実にするために、パーソナルコンピュータ（ＰＣ）１１２をプライベート装置として用いる例が、図３に与えられる。

図３の例は、プライベートネットワーク１１８において有効であるがパブリックネットワーク（例えば、１２０、１４０、及び１５０）において有効ではないプライベートＩＰｖ４アドレスをＰＣ１１２が取得３２０することから開始する。例えば、ＰＣ１１２は、そのプライベートＩＰｖ４アドレスを取得するために、ＤＨＣＰ＿Ｄｉｓｃｏｖｅｒ（図示せず）をＲＧ１１０に送信してもよく、当該ＲＧ１１０は、ＰＣ１１２にプライベートＩＰｖ４アドレスを提供するＤＨＣＰ＿Ｏｆｆｅｒ（図示せず）をＰＣ１１２に送信するであろう。ＰＣ１１２は、提供されたプライベートＩＰｖ４アドレスを受け入れるために、ＲＧ１１０にＤＨＣＰ＿ＲｅｑＰＣｓｔ（図示せず）を送信することによって応答するであろう。ＲＧ１１０は、ＤＨＣＰ＿Ａｃｋ（図示せず）をＰＣ１１２に送信することによって、割り当てられるプライベートＩＰｖ４アドレスに対して確認応答を送信し、それによって、ＰＣ１１２へのプライベートＩＰｖ４アドレスの割り当てを完了する。ＰＣ１１２は、ＲＧ１１０により静的に構成されるプライベートＩＰｖ４アドレスを用いるように構成されてもよい。静的に構成されるプライベートＩＰｖ４アドレスを用いても、ＲＧ１１０は、トラフィックをＰＣ１１２にルーティングすることが可能であるように、少なくともアドレス管理の観点から、ＰＣ１１２にプライベートＩＰｖ４アドレスを割り振る必要が依然としてある。

ＩＰｖ４アドレスの割り振り３２０に続き、ＲＧ１１０は、ＰＣ１１２に割り当てられたプライベートＩＰｖ４アドレスに基づいてＰＣ１１２についてのポートのブロックを予約３２２する。当該予約３２２に続き、ＲＧ１１０は、ＰＣ１１２について予約されたポートのブロックの識別子をＩＰエッジノード１３０に送信３２４し、及びＰＣ１１２の識別子もＩＰエッジノード１３０に送信し得る。ＲＧ１１０は、ポートのブロックの識別子を送信する際、そのパブリックＩＰｖ４アドレスをソースアドレスとして暗黙的に送信する。それでもなお、パブリックＩＰｖ４アドレスは、同じメッセージ中に明示的にも含まれ得る。ＰＣ１１２について予約されるポートのブロックの識別子は、数値範囲又は数値のリストから成る可能性が高い。複数のポートを所定の手法でグループ化し、グループ識別子をポートのブロックの識別子として提供するという決定をすることもできる。ＩＰのコンテキストにおいて用いられる、ポートについての数値は、０から６５５３５に及び、多くの範囲及び特定の値が予約される。予約されるポートの数が判定される手法及び実際の数値は、本発明に影響を及ぼさない。

ＩＰエッジノード１３０は、ＰＣ１１２について予約されたポートのブロックの識別子を受信し、及びＲＧ１１０からＰＣ１１２の識別子を受信し得る。ＰＣ１１２の識別子が提供されない場合、ＩＰエッジノード１３０は、識別子をＲＧ１１０又は（例えば、ＰＣ１１２について予約されたポートのブロックのうちの１つ以上を用いて）ＰＣ１１２に直接要求するように構成され得る。ＩＰエッジノード１３０は、ＲＧ１１０のパブリックＩＰｖ４アドレスも黙示的又は明示的に取得する。ＰＣ１１２に関連する１つ以上のルール（例えば、ベストエフォートトラフィックについての一般的なルール）は、ＩＰエッジノード１３０において生成され、又はネットワーク１００における別のノード（図示せず）から受信され得る。ＩＰエッジノード１３０は、ＰＣ１１２の２つの同一の識別子を相互に関連付け、及びＰＣ１１２をパブリックＩＰｖ４アドレスのポートのブロックに適当に関連付けることが可能である。一旦パブリックＩＰｖ４アドレス上のポートのブロックがＰＣ１１２に関連付けられると、ＩＰエッジノード１３０は、適当なルールをアクティブ化３２６し（生成し又はさもなければインストールし）て、ＰＣ１１２のトラフィックを処理することが可能である。

ＰＣ１１２へのプライベートＩＰｖ４アドレスの割り当てに続き、ＰＣ１１２は、ある時点において、パブリックネットワーク（例えば、１４０又は１５０）に向けてトラフィック３２８を送信し始め得る。当該トラフィックは、ＲＧ１１０において傍受される。ＲＧ１１０は、当該トラフィック３２８にＮＡＴ３３０を適用する。例えば、ＮＡＴ３３０は、プライベートＩＰｖ４アドレス及びＰＣ１１２から受信されるポートをＲＧ１１０のパブリックＩＰｖ４アドレス及びＰＣ１１２について予約されるポートのブロックからの１つのポートとスワッピングすることによって、ＲＧ１１０において提供されることができる。ＲＧ１１０は、ＰＣトラフィック３３２をその宛先に向けて転送し、それによって、ＩＰエッジノード１３０に到達する。

ＩＰエッジノード１３０は、ＰＣトラフィック３３２を受信し、及び当該トラフィック中のポート情報をＰＣ１１２について予約されたポートのブロックの識別子と比較することによって、受信されたトラフィックをＰＣ１１２のトラフィックとして識別することが可能である。ＩＰエッジノード１３０は、ＰＣ１１２のＰＣトラフィック３３２にルールを適用３３４することが可能である。妥当な場合（例えば、ＩＰエッジノード１３０以外の別のノードを宛て先アドレスとし、且つトラフィック処理がそれを許可する場合）、ＩＰエッジノード１３０は、パブリックネットワーク（例えば、１４０又は１５０）においてＰＣトラフィック３３６を転送することができる。

図４は、本発明の教示に係る、パブリックネットワークにおいてプライベート装置の識別を可能にするための例示的なフローチャートを示す。プライベート装置は、パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置の背後に位置する。プライベート装置は、幾つかの場合において、認証機能に当該プライベート装置自体を認証しなければならないことがあり得る４０５。パブリックネットワークのネットワークノードは、プライベート装置の識別子を当該プライベート装置の認証機能への認証の期間中に傍受し得る４１０。あるいは、パブリックネットワークのネットワークノードは、プライベート装置の認証機能への認証に続き、当該認証機能からプライベートの識別子を受信し得る。ネットワークアドレス変換装置は、認証の成功を知って、プライベート装置の識別子を取得し得る４１５。

ネットワークアドレス変換装置は、プライベートＩＰｖ４アドレスをプライベート装置に割り振る４２０。プライベート装置はパブリックネットワーク中には存在しないことが理解されるべきである。言うまでもなく、当業者は、プライベート装置が１つよりも多くのアドレスを有し得ること、及びプライベート装置がそのプライベートアドレスを有してパブリックネットワーク中には存在しないことを容易に認識するであろう。プライベート装置のプライベートＩＰｖ４アドレスは、パブリックネットワーク上では用いられることができない。ネットワークアドレス変換装置は、プライベート装置についてパブリックＩＰｖ４アドレス上のポートのブロックを予約し４２５、及び当該ポートのブロックの識別子をパブリックネットワークにおけるネットワークノードに送信する４３０。随意的に、ネットワークアドレス変換装置は、以前取得されたプライベート装置の識別子をパブリックネットワークにおけるネットワークノードに送信してもよい４３５。

パブリックネットワークのネットワークノードは、ポートのブロックがプライベート装置について予約されていることを示す、ＩＰｖ４アドレス上のポートのブロックの識別子を受信する４３０。ネットワークノードは、随意的に、ネットワークアドレス変換装置からプライベート装置の識別子を受信し得る４３５。パブリックネットワークのネットワークノードは、その後、プライベート装置のトラフィックを処理するためのルールをアクティブ化する４４０。ルールをアクティブ化することは、随意的に、ポートのブロックの識別子の受信時にルールをアクティブ化し、又はポートのブロックの識別子の受信時にルールを生成し及びアクティブ化する前に、パブリックネットワークの別のネットワークノードからルールを受信することを含み得る。

ネットワークアドレス変換装置は、プライベート装置からパブリックネットワークへの接続要求を受信し４４５、及びプライベート装置について予約されたポートのブロックからの少なくとも１つのポートを用いて当該パブリックネットワークへの接続要求を転送することができる４５０。パブリックネットワークのネットワークノードは、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスを送信元アドレスとするトラフィックを受信するであろう４５５。パブリックネットワークのネットワークノードは、例えばトラフィックパケットのソースアドレスにおいて用いられているポート範囲に基づいて、受信されたトラフィックをプライベート装置のトラフィックとして識別するであろう４６０。パブリックネットワークのネットワークノードは、プライベート装置のトラフィックにルールを適用し４６５、及び当該トラフィックをパブリックネットワークにおいて転送し得る４７０。

パブリックネットワークは、例えばＩＰｖ６ネットワークとすることができ、パブリックＩＰｖ４アドレスは、そのような例示的なシナリオにおいて、後方互換性を確保するためにＩＰｖ６アドレスにおいて表され得る。ポートのブロックは、少なくとも２つのポートの隣接するグループである可能性が高いが、本発明に影響を及ぼすことなく、少なくとも２つのポートの非隣接グループであってもよい。

パブリックＩＰｖ４アドレス上のポートのブロックの識別子は、プライベート装置のパブリック識別子と共に１つのパブリックレジストリにもさらに登録され得る。このシナリオにおいて、対応ノードは、プライベート装置のパブリック識別子を用いて、プライベート装置について予約されたポートのブロックの識別子をパブリックレジストリから取得し、インカミングトラフィックをプライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスに送信することが可能である。

パブリックネットワークのネットワークノードは、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上のパブリックＩＰｖ４アドレスを宛て先アドレスとするインカミングトラフィックを受信し、当該インカミングトラフィックをプライベート装置のインカミングトラフィックとして識別し、プライベート装置のインカミングトラフィックにルールを適用し、及びインカミングトラフィックをネットワークアドレス変換装置に向けて転送することができる。ネットワークアドレス変換装置は、プライベート装置について予約されたポートのブロックからの少なくとも１つのポート上で、プライベート装置に向けたパブリックネットワークからのインカミングトラフィックを受信し、及びインカミングトラフィックをプライベート装置に転送することができる。

図５は、本発明の教示に係る、パブリックネットワークにおいて第２の例示的なプライベート装置の識別を可能にするためのネットワークノード４０００の例示的なモジュール表現を示す。ネットワークノード４０００は、プロセッサモジュール４１００、メモリモジュール４２００、及びネットワークインタフェースモジュール４４００を備え、並びにストレージデバイスモジュール４３００を備え又はさもなければネットワークノード４０００の他のモジュールに利用可能にする。ネットワークノード４０００は、アドレス管理モジュール４５００、及びネットワークアドレス変換モジュール４６００も備える。アドレス管理モジュール４５００及びネットワークアドレス変換モジュール４６００は、物理的なハードウェアモジュールであってもよいが、１つ以上の他のモジュール４１００〜４４００によって実装される論理モジュールを表してもよい。アドレス管理モジュール４５００は、パブリックネットワークにおいて有効なＩＰｖ４アドレスを割り当てられ、及び当該パブリックネットワーク中に存在しないプライベート装置にプライベートＩＰｖ４アドレスを割り振る。ネットワークアドレス変換モジュール４６００は、プライベート装置についてパブリックＩＰｖ４アドレス上のポートのブロックを予約し、及び当該ポートのブロックの識別子をパブリックネットワークにおけるさらなるネットワークノードに送信する。

プロセッサモジュール４１００は、１つ以上のプロセッサコア又は各々が１つ以上のプロセッサコアを備えるプロセッサのアレイを有する単一のプロセッサを表し得る。メモリモジュール４２００は、種々のタイプのメモリ（様々に標準化された又は様々な種類のＲＡＭ（Random Access Memory）モジュール、メモリカード、ＲＯＭ（Read-Only Memory）モジュール、プログラマブルＲＯＭ等）を備え得る。ストレージデバイスモジュール４３００は、１つ以上の論理的又は物理的な及びローカル又はリモートのハードディスクドライブ（ＨＤＤ）（又は、そのアレイ）を表し得る。ストレージデバイスモジュール４３００は、標準又はプロプライエタリなインタフェースによってネットワークノード４０００にアクセス可能にされるローカル又はリモートのデータベースをさらに表し得る。ネットワークインタフェースモジュール４４００は、他のネットワークノードと通信するために用いられることができる少なくとも１つの物理的なインタフェースを表す。ネットワークインタフェースモジュール４４００は、１つ以上の論理インタフェースを通じてネットワークノード４０００の他のモジュールに可視化されてもよい。ネットワークインタフェースモジュール４４００の物理的なネットワークインタフェース及び／又は論理的なネットワークインタフェースによって用いられる実際のプロトコルのスタックは、本発明の教示に影響を及ぼさない。本発明のコンテキストにおいて使用可能なプロセッサモジュール４１００、メモリモジュール４２００、ネットワークインタフェースモジュール４４００、及びストレージデバイスモジュール４３００の変形例は、当業者には容易に明らかとなるであろう。同様に、メモリモジュール４２００及び／又はプロセッサモジュール４１００についての明示的な言及は本例の説明全体に渡って為されないが、当業者は、当該モジュールがネットワークノード４０００の他のモジュールと共に用いられてルーチン及び本発明に関連する革新的なステップを実行することを容易に認識するであろう。

図６は、本発明の教示に係る、パブリックネットワークにおいて第２の例示的なプライベート装置の識別を可能にするためのネットワークノード５０００の例示的なモジュール表現を示す。ネットワークノード５０００は、プロセッサモジュール５１００、メモリモジュール５２００、及びネットワークインタフェースモジュール５４００を備え、並びにストレージデバイスモジュール５３００を備え又はさもなければネットワークノード５０００の他のモジュールに利用可能にする。ネットワークノード５０００は、ポートのブロックがプライベート装置について予約されていることを示す、パブリックＩＰｖ４アドレス上の当該ポートのブロックの識別子を受信するトラフィック処理モジュール５５００も備え、プライベート装置は、パブリックネットワーク中には存在せず、トラフィック処理モジュール５５００は、プライベート装置のトラフィックを処理するためのルールをアクティブ化する。トラフィック処理モジュール５５００は、物理的なハードウェアモジュールであってもよいが、１つ以上の他のモジュール５１００〜５４００によって実装される論理モジュールを表してもよい。

プロセッサモジュール５１００は、１つ以上のプロセッサコア又は各々が１つ以上のプロセッサコアを備えるプロセッサのアレイを有する単一のプロセッサを表し得る。メモリモジュール５２００は、種々のタイプのメモリ（異なる標準又は種類のＲＡＭ（Random Access Memory）モジュール、メモリカード、ＲＯＭ（Read-Only Memory）モジュール、プログラマブルＲＯＭ等）を備え得る。ストレージデバイスモジュール５３００は、１つ以上の論理的又は物理的な及びローカル又はリモートのハードディスクドライブ（ＨＤＤ）（又は、そのアレイ）を表し得る。ストレージデバイスモジュール５３００は、標準又はプロプライエタリなインタフェースによってネットワークノード５０００にアクセス可能にされるローカル又はリモートのデータベースをさらに表し得る。ネットワークインタフェースモジュール５４００は、他のネットワークノードと通信するために用いられることができる少なくとも１つの物理的なインタフェースを表す。ネットワークインタフェースモジュール５４０は、１つ以上の論理インタフェースを通じてネットワークノード５０００の他のモジュールに可視化されてもよい。ネットワークインタフェースモジュール５４００の物理的なネットワークインタフェース及び／又は論理的なインタフェースによって用いられる実際のプロトコルのスタックは、本発明の教示に影響を及ぼさない。本発明のコンテキストにおいて使用可能なプロセッサモジュール５１００、メモリモジュール５２００、ネットワークインタフェースモジュール５４００、及びストレージデバイスモジュール５３００の変形例は、当業者には容易に明らかとなるであろう。同様に、メモリモジュール５２００及び／又はプロセッサモジュール５１００についての明示的な言及は本例の説明全体にわたって為されないが、当業者は、当該モジュールがネットワークノード５０００の他のモジュールと共に用いられてルーチン及び本発明に関連する革新的なステップを実行することを容易に認識するであろう。

明細書全体にわたる「１つの実施形態」又は「ある実施形態」への言及は、ある実施形態に関連して特定の特徴、構造、又は特性が開示される主題の少なくとも１つの実施形態に含まれることを意味する。従って、明細書の全体にわたる種々の箇所における「１つの実施形態において」又は「ある実施形態において」という表現の出現は、必ずしも同じ実施形態に言及しない。さらに、特定の特徴、構造又は特性は、１つ以上の実施形態において任意の適切な手法において組み合わせられ得る。

本発明の幾つかの好適な実施形態は、添付の図面において例示され及び前述の説明において記載されてきたが、本発明は、開示された実施形態に限定されず、本発明の教示から逸脱することなく多数の再構成、変更及び置換が可能であることが理解されるであろう。例えば、図面は種々のアルゴリズムを扱う単一のノードを提示していても、ノードのクラスタがタスクを透過的にさらに実行し得る。従って、これは本発明の必須条件として解釈されるべきではない。一般に、本発明の説明において為される記述は、必ずしも特許請求の範囲に記載される本発明の種々の観点のいずれも限定しない。さらに、幾つかの記述は、幾つかの進歩的な特徴に当てはまるが、他の進歩的な特徴には当てはまらないことがあり得る。図面において、同様又は類似の要素は、幾つかの図にわたって同一の参照番号により示され、図示される種々の要素は、必ずしも縮尺通りに描かれているわけではない。さらに、種々のステップが実行される順序は、種々のアルゴリズムの結果に必ずしも重要ではない。また、前述の詳細な説明は、本発明を限定しない。その代わりに、本発明の範囲は、添付の特許請求の範囲によって定義される。

Claims (20)

1. パブリックネットワークにおいてプライベート装置の識別を可能にするための方法であって、当該方法は、
   −前記パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置において、前記パブリックネットワーク中には存在しない前記プライベート装置にプライベートＩＰｖ４アドレスを割り振るステップと、
   −前記ネットワークアドレス変換装置において、前記プライベート装置について前記パブリックＩＰｖ４アドレス上のポートのブロックを予約するステップと、
   −前記ネットワークアドレス変換装置において、前記ポートのブロックの識別子を前記パブリックネットワークにおけるネットワークノードに送信するステップと、
   を含む、方法。
2. −前記ネットワークアドレス変換装置において、前記プライベート装置から、前記パブリックネットワークに向けての接続要求を受信するステップと、
   −前記ネットワークアドレス変換装置において、前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポートを用いて、前記パブリックネットワーク上で前記接続要求を転送するステップと、
   をさらに含む、請求項１に記載の方法。
3. 前記ポートのブロックの前記識別子を送信する前記ステップは、前記パブリックネットワークにおける前記ネットワークノードに前記プライベート装置の識別子を送信すること、をさらに含む、請求項１に記載の方法。
4. 前記パブリックネットワークは、ＩＰｖ６ネットワークであり、前記パブリックＩＰｖ４アドレスは、後方互換性を確保するためにＩＰｖ６アドレスにおいて表される、請求項１に記載の方法。
5. 前記ポートのブロックは、少なくとも２つのポートの非隣接グループである、請求項１に記載の方法。
6. パブリックネットワークにおいてプライベート装置のトラフィックを処理するための方法であって、当該プライベート装置は、パブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置の背後に位置し、前記方法は、
   −前記パブリックネットワークのネットワークノードにおいて、ポートのブロックが前記プライベート装置について予約されていることを示す、前記パブリックＩＰｖ４アドレス上の前記ポートのブロックの識別子を受信するステップと、
   −前記パブリックネットワークの前記ネットワークノードにおいて、前記プライベート装置のトラフィックを処理するためのルールをアクティブ化するステップと、
   を含む、方法。
7. 前記プライベート装置のトラフィックを処理するための前記ルールをアクティブ化する前記ステップは、
   −前記パブリックネットワークの前記ネットワークノードにおいて、前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポート上の前記パブリックＩＰｖ４アドレスを送信元アドレスとするトラフィックを受信することと、
   −前記パブリックネットワークの前記ネットワークノードにおいて、受信された前記トラフィックを前記プライベート装置のトラフィックとして識別することと、
   −前記パブリックネットワークの前記ネットワークノードにおいて、前記プライベート装置の前記トラフィックに前記ルールを適用することと、
   −前記パブリックネットワークの前記ネットワークノードにおいて、前記トラフィックをその宛先にむけて前記パブリックネットワークにおいて転送することと、
   をさらに含む、請求項６に記載の方法。
8. 前記プライベート装置のトラフィックを処理するためのルールをアクティブ化する前記ステップは、
   −前記ポートのブロックの前記識別子の受信時に前記ルールをアクティブ化する前に、前記パブリックネットワークの別のネットワークノードから前記ルールを受信すること、又は、
   −前記ポートのブロックの前記識別子の受信時に前記ルールを生成し及びアクティブ化すること、
   をさらに含む、請求項６に記載の方法。
9. 前記パブリックＩＰｖ４アドレス上のポートのブロックの前記識別子を受信する前記ステップは、前記ネットワークアドレス変換装置から前記プライベート装置の識別子を受信すること、をさらに含み、前記方法は、
   −前記ルールをアクティブ化する前に、前記パブリックネットワークの前記ネットワークノードにおいて、前記プライベート装置の前記識別子を認証機能とのその認証期間中に傍受するステップ、又は、
   −前記ルールをアクティブ化する前に、前記パブリックネットワークの前記ネットワークノードにおいて、前記認証機能による前記プライベート装置の認証に続き前記プライベートの前記識別子を当該認証機能から受信するステップ、
   をさらに含む、請求項６に記載の方法。
10. 通信ネットワークにおけるネットワークノードであって、
    −パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを割り当てられ、及び、
    −前記パブリックネットワーク中には存在しないプライベート装置にプライベートＩＰｖ４アドレスを割り振る、
    −アドレス管理モジュールと、
    −前記プライベート装置について前記パブリックＩＰｖ４アドレス上のポートのブロックを予約し、及び、
    −前記パブリックネットワークにおけるさらなるネットワークノードに前記ポートのブロックの識別子を送信する、
    −ネットワークアドレス変換モジュールと、
    を備える、ネットワークノード。
11. 前記ネットワークアドレス変換モジュールは、前記プライベート装置から、前記パブリックネットワークに向けての接続要求をさらに受信し、及び前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポートを用いて前記パブリックネットワーク上で当該接続要求を転送する、請求項１に記載のネットワークノード。
12. 前記ネットワークアドレス変換モジュールは、前記ポートのブロックの前記識別子を前記プライベート装置の識別子と共に前記パブリックネットワークにおける前記さらなるネットワークノードに送信する、請求項１０に記載のネットワークノード。
13. パブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置と通信する、パブリックネットワークにおけるネットワークノードであって、プライベート装置が当該ネットワークアドレス変換装置の背後に位置し、前記ネットワークノードは、
    −ポートのブロックが前記パブリックネットワーク中には存在しない前記プライベート装置について予約されていることを示す、前記パブリックＩＰｖ４アドレス上の前記ポートのブロックの識別子を受信し、及び、
    −前記プライベート装置のトラフィックを処理するためのルールをアクティブ化する、
    −トラフィック処理モジュール
    を備える、ネットワークノード。
14. 前記トラフィック処理モジュールは、
    −前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポート上の前記パブリックＩＰｖ４アドレスを送信元アドレスとするトラフィックを受信し、
    −受信された前記トラフィックを前記プライベート装置のトラフィックとして識別し、
    −前記プライベート装置の前記トラフィックに前記ルールを適用し、及び、
    −前記トラフィックをその宛先に向けて前記パブリックネットワークにおいて転送すること、
    によって、前記プライベート装置のトラフィックを処理するためのルールをさらにアクティブ化する、請求項１３に記載のネットワークノード。
15. 前記トラフィック処理モジュールは、さらに、
    −前記ポートのブロックの前記識別子の受信時に前記ルールをアクティブ化する前に、前記パブリックネットワークの別のネットワークノードから前記ルールを受信し、又は、
    −前記ポートのブロックの前記識別子の受信時に前記ルールを生成し及びアクティブ化する、
    請求項１３に記載のネットワークノード。
16. 前記トラフィック処理モジュールは、前記ネットワークアドレス変換装置から、前記プライベート装置の識別子を前記パブリックＩＰｖ４アドレス上のポートのブロックの前記識別子と共にさらに受信し、前記トラフィック処理モジュールは、さらに、
    −前記ルールをアクティブ化する前に、前記プライベート装置の前記識別子を認証機能とのその認証期間中に傍受し、又は、
    −前記ルールをアクティブ化する前に、前記認証機能による前記プライベート装置の認証に続き前記認証機能から前記プライベートの前記識別子を受信する、
    請求項１３に記載のネットワークノード。
17. パブリックネットワークにおいてプライベート装置の識別を可能にするためのシステムであって、当該システムは、
    −前記パブリックネットワークにおいて有効なパブリックＩＰｖ４アドレスを有するネットワークアドレス変換装置であって、
    −前記パブリックネットワーク中には存在しないプライベート装置にプライベートＩＰｖ４アドレスを割り振り、
    −前記プライベート装置について前記パブリックＩＰｖ４アドレス上のポートのブロックを予約し、及び、
    −前記パブリックネットワークにおけるネットワークノードに前記ポートのブロックの識別子を送信する、
    ネットワークアドレス変換装置と、
    前記パブリックネットワークにおける前記ネットワークノードであって、
    −前記ポートのブロックが前記プライベート装置について予約されていることを示す、前記パブリックＩＰｖ４アドレス上のポートのブロックの識別子を受信し、及び、
    −前記プライベート装置のトラフィックを処理するためのルールをアクティブ化する、
    −前記ネットワークノードと、
    を備える、システム。
18. −前記ネットワークアドレス変換装置は、前記パブリックネットワークにおける前記ネットワークノードに前記プライベート装置の識別子を前記ポートのブロックの前記識別子と共にさらに送信し、
    −前記パブリックネットワークにおける前記ネットワークノードは、前記ルールをアクティブ化する前に、さらに
    −前記プライベート装置の前記識別子を認証機能とのその認証期間中に傍受し、又は、
    −前記認証機能による前記プライベート装置の認証に続き当該認証機能から前記プライベートの前記識別子を受信する、
    請求項１７に記載のシステム。
19. −前記ネットワークアドレス変換装置は、さらに、
    −前記プライベート装置から、前記パブリックネットワークに向けてのトラフィックを受信し、及び、
    −前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポートを用いて前記パブリックネットワーク上で前記トラフィックを転送し、
    −前記パブリックネットワークの前記ネットワークノードは、さらに、
    −前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポート上の前記パブリックＩＰｖ４アドレスを送信元アドレスとする前記トラフィックを受信し、
    −受信された前記トラフィックを前記プライベート装置のトラフィックとして識別し、及び、
    −前記プライベート装置の前記トラフィックに前記ルールを適用する、
    １７のシステム。
20. 前記パブリックＩＰｖ４アドレス上の前記ポートのブロックの前記識別子は、前記プライベート装置のパブリック識別子と共に１つのパブリックレジストリにさらに登録され、
    前記システムは、
    −前記プライベート装置の前記パブリック識別子を用いて、前記プライベート装置について予約された前記ポートのブロックの前記識別子を前記パブリックレジストリから取得し、及び、
    −インカミングトラフィックを前記プライベート装置について予約された前記ポートのブロックからの少なくとも１つのポート上の前記パブリックＩＰｖ４アドレスに送信する、
    −対応ノード、
    をさらに備え、
    −前記パブリックネットワークの前記ネットワークノードは、
    −前記プライベート装置について予約された前記ポートのブロックからの前記少なくとも１つのポート上の前記パブリックＩＰｖ４アドレスを宛て先アドレスとする前記インカミングトラフィックを受信し、
    −前記インカミングトラフィックを前記プライベート装置のインカミングトラフィックとして識別し、
    −前記プライベート装置の前記インカミングトラフィックに前記ルールを適用し、及び、
    −前記インカミングトラフィックを前記ネットワークアドレス変換装置に向けて転送し、
    −前記ネットワークアドレス変換装置は、さらに、
    −前記パブリックネットワークから、前記プライベート装置についての前記インカミングトラフィックを前記プライベート装置について予約された前記ポートのブロックからの前記少なくとも１つのポート上で受信し、及び、
    −前記インカミングトラフィックを前記プライベート装置に転送する、
    請求項１７に記載のシステム。
    

Images