JP2014505387A - Ｉｄ／ロケータ分離ネットワークのモニタリング方法及びシステム - Google Patents

Abstract

本発明はＩＤ／ロケータ分離ネットワークのモニタリング方法及びシステムに関する。該方法は、監視管理センタが被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得することと、前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得することと、前記監視管理センタが前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達することと、前記エッジルータがアドレス情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングすることを含む。本発明ＩＤ／ロケータ分離ネットワークのモニタリング方法及びシステムは、ＩＤとロケータ分離ネットワークアーキテクチャの下でのモニタリング機能を実現することができる。

Description

本発明は、データ通信分野に関し、特に、ＩＤ／ロケータ分離ネットワークのモニタリング方法及びシステム関する。

次世代の情報ネットワークアーキテクチャについての研究はカレントの最も人気がある課題の１つであり、現在ほとんどの研究は、未来のネットワークがインターネットを統一基幹ネットワークとすると思われている。インターネットは、その誕生以来ずっと高速に発展していって、カレントの最も成功する、最も生命力のある通信ネットワークになっていって、その柔軟な拡張可能性、高効なパケット交換、強大な端末の機能などの特徴が非常に新世代のネットワークの設計需要を符合し、インターネットは新世代のネットワーク設計の主な参照見本となる。

しかしながら、インターネットの構成はまだまだ最適に達しなく、重大の設計問題が多くあり、より典型的なのはＩＰアドレスの二重属性の問題であり、即ちＩＰアドレスはユーザＩＤを代表するだけでなく、ユーザが位置するネットワークトポロジーも代表し、即ちＩＰアドレスの二重属性である。インターネットが２０世紀７０年代に発明され、人たちが今日の世界で大量の移動端末とマルチホーム端末が存在することを予想しにくく、従って、当時のインターネットプロトコルスタックが、主に「固定」方式で接続された端末に対して設計したものである。当時のネットワーク環境で、端末が基本的に１つの位置から他の位置に移動することがなく、送信したアドレスが受信するアドレスであり、経路が可逆であるため、ＩＤとロケータ二重属性を有するＩＰアドレスは非常に順調に稼動でき、ＩＰアドレスのＩＤ属性とロケータ属性の間がいずれの衝突が発生しなかった。ＩＰアドレスは同時にＩＤとロケータを代表してちょうど当時のネットワーク需求を満たす。当時のネットワーク環境から見ると、このような設計案は簡単有効的で、プロトコルスタックの階層構成を簡単化させる。

しかし間違いないのは、ＩＰアドレスのＩＤ属性とロケータ属性の間に内部矛盾が存在していって、ＩＰアドレスのＩＤ属性はいずれかの２つのＩＰアドレスが平等することを要求し、ＩＰアドレスが組織機構に応じて配分できるが、連続にコーディングしたＩＰアドレスの間に必然的な関係がなく、ＩＰアドレスのロケータ属性はＩＰアドレスがネットワークトポロジー（組織機構ではない）に基づいて配分することを要求し、同一のサブネットワーク内に位置するＩＰアドレスがいずれも１つの連続のＩＰアドレスブロックに位置すべき、このようにネットワークトポロジーにおけるＩＰアドレスプレフィックスを重合することができ、それにより、ルータ機器のルーティングテーブルの条目を減少させ、ルーティングシステムの拡張可能性を保証する。

総合的に、ＩＰアドレス二重属性の内在矛盾は以下の主な問題を引き起こす。

１．ルーティング拡張可能な問題。インターネットルーティングシステムの拡張可能性について、
「アドレスがトポロジーに応じて配分し、或いはトポロジーがアドレスに応じて配置し、必ず両者から１つを選択する」という基本的な仮定がある。ＩＰアドレスのＩＤ属性は、ＩＰアドレスは端末が属する組織機構（ネットワークトポロジーではない）に基づいて配分し、そして、このような配分が一定の安定性を保持する必要があり、頻繁に変更してはいけないことを要求し、ＩＰアドレスのロケータ属性は、ＩＰアドレスがネットワークトポロジーに基づいて配分して、ルーティングシステムの拡張可能性を保証することを要求する。このように、ＩＰアドレスの２種類の属性は衝突が発生し、最終的にインターネットルーティングシステムの拡張可能な問題を引き起こす。

２．移動性問題。ＩＰアドレスのＩＤ属性は、ＩＰアドレスが端末位置の改変につれて変化してはいけないことを要求し、このように、ＩＤにバインディングされた通信が中断しないことを保証することができ、端末が移動した後、他の端末が依然としてそのＩＤを使用してそれと通信連絡を確立可能なことを保証することもでき、ＩＰアドレスのロケータ属性は、ＩＰアドレスが端末位置の改変につれて改変することを要求し、それにより、ＩＰアドレスが新しいネットワークトポロジーに重合することができ、さもないと、ネットワークが移動した後の端末のために単独のルーティング情報を保留しなければならなく、従って、ルーティングテーブル条目の急増を引き起こす。

３．マルチホーム問題。マルチホームとは、通常に端末又はネットワークが同時に複数の国際インターネットサービスプロバイダ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅｓ Ｐｒｏｖｉｄｅｒ、ＩＳＰ）のネットワークによってインターネットにアクセスすることを指し、マルチホーム技術は、ネットワークの信頼性を増加し、複数のＩＳＰ間の流量負荷平準をサポートし、及び全体の利用可能な帯域幅を向上させるなどのメリットを含む。しかし、ＩＰアドレス二重属性の内在矛盾がマルチホーム技術の実現を難しくさせる。ＩＰアドレスのＩＤ属性は、１つのマルチホーム端末がいくつかのＩＳＰによってインターネットにアクセスするにもかかわらず、該マルチホーム端末が常時に他の端末に対して不変のＩＤを現れることを要求し、ＩＰアドレスのロケータ属性は、１つのマルチホーム端末が異なるＩＳＰネットワークで異なるＩＰアドレスで通信することを要求し、このように、端末のＩＰアドレスがＩＳＰネットワークのトポロジーで重合可能なことを保証することができる。

４．安全と位置プライバシー問題。ＩＰアドレスに同時に端末のＩＤ情報とロケータ情報を含むため、通信相手と悪意盗聴者がいずれも１つの端末のＩＰアドレスに基づいて同時に該端末のＩＤ情報とトポロジーロケータ情報を取得することができる。

総合的に、従来のインターネットの体系構成が確立された以来、インターネットの技術環境とユーザグループともすでに極めて大きな変化が発生し、インターネットがそれにつれて革新する必要がある。ＩＰアドレスの二重属性問題はインターネットの続き発展を邪魔する根本原因の１つであり、ＩＰアドレスのＩＤ属性とロケータ属性を分離するのは、インターネットが直面する問題を解決するよい構想である。新ネットワークはこのような構想に基づいて設計し、ＩＤ情報とロケータ情報が分離してマッピングするネットワーク構成を提供して、従来のインターネットに存在するいくつかの重大な弊害を解決する。

ＩＤとロケータの問題を解決するために、業界は大量の研究と探索を行い、すべてのＩＤとロケータ分離案は、もともとＩＰアドレスにバインディングされたＩＤとロケータ二重属性を分離することを基本思想とする。ある案は、応用層のユニフォームリソースロケータ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ，ＵＲＬ、完全にＩｎｔｅｒｎｅｔにおけるウェブページと他のリソースのアドレスを説明するための識別方法である）又は完全修飾ドメイン名（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ、ＦＱＤＮ）を端末のＩＤ識別子とし、ある案は新しい名前空間を導入してＩＤ識別子とし、例えば、ＨＩＰ （Ｈｏｓｔ Ｉｄｅｎｔｉｔｙ Ｐｒｏｔｏｃｏｌ、ホスト識別プロトコル）が、ＩＰアドレスを識別子とするネットワーク層にホスト識別子を増加し、ある案はＩＰアドレスを分類し、一部ＩＰをＩＤ識別子とし、一部ＩＰをロケータ識別子、例えば、ＬＩＳＰ（Ｌｏｃａｔｏｒ／ＩＤ Ｓｅｐａｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ロケータ／ＩＤ分離プロトコル）など、北方交通大学張宏科の特許ＣＮ２００６１０００１８２５にも解決案を提供し、ＩＰアドレスをホストのロケータ識別子とし、導入端ホスト識別子をＩＤ識別子として、ＩＤとロケータ分離の問題を解決する。

上記案はいずれも問題の一部から従来のネットワークアーキテクチャの下でＩＤとロケータ分離を実現する解決案を提出し、ＩＤとロケータ分離は未来データ通信ネットワーク、特に移動データ通信ネットワークのコア技術である。

従来のＩＤ／ロケータ分離技術において、ＩＤ識別子とロケータ識別子の間のマッピング関係を確立しなければならなく、ネットワーク機器がアドレッシングする時に用いられる。このマッピング関係はマッピングサーバに保持し、エッジルータが端末から送信してきたデータパケットを受信し、データパケットの目的ＩＤ識別子が未知であれば、マッピングサーバのＩＤ／ロケータマッピングテーブルを問い合わせる必要があり、目的ＩＤ識別子に基づいて目的ロケータ識別子を探し出し、データパケットをカプセル化した後相応のネットワークに送信する。

Ｉｎｔｅｒｎｅｔネットワークの業務、例えば、Ｉｎｔｅｒｎｅｔ閲覧、電子メールの受送信、インスタント通信、ビデオのアップロード/ダウンロードなどなどは、情報のソースが広く、ひいては国家安全と社会安定を危害する可能性があり、従って、Ｉｎｔｅｒｎｅｔネットワークに対して合法的モニタリングを行うのは重要な意味がある。

モニタリング機能は、主にバイパスの方式で被監視対象の通信データを取得と記録し、且つ統一インターフェースによって公安、軍隊などの国家安全部門に提供することである。

ネットワークのモニタリング機能は以下の特徴を備える必要があり、
１、モニタリングされる対象はあるユーザ、ある端末、あるサービスプロバイダ、又はある業務であってもよく、
２、モニタリングがバイパス方式でデータを取得し、業務に影響しなく、ユーザに感知されなく、
３、モニタリングが承認を取得する必要があり、異なる権限の監視管理部門が異なる等級の内容をモニタリングする。
ネットワークのモニタリング機能の画成は、ＩＳＯ七層模型のネットワーク層に制限され、即ち設定されたモニタリング規則に基づいて、条件を符合するネットワーク層データパケットを監視管理センタにミラーリングする。

モニタリング機能の実現は、主にネットワーク機器のデータミラーリング機能を利用し、データミラーリング機能はソースポートのデータ、又はアクセス制御リスト規則に基づいてスクリーニングしたデータ流を目的ポートにコピーし、目的ポートが監視管理センタのデータ監視機器に接続される。現在大部分のネットワーク機器、例えばスイッチ、ルータ、アクセスサーバなどはいずれもポートミラーリング機能をサポートする。

現在、従来のＩＤとロケータ分離ネットワークアーキテクチャの下で、モニタリング機能を実現しない。

本発明が解決しようとする技術課題は、ＩＤ／ロケータ分離ネットワークのモニタリング方法及びシステムを提供し、ＩＤとロケータ分離ネットワークアーキテクチャの下でのモニタリング機能を実現する。

以上の技術課題を解決するために、本発明はＩＤ／ロケータ分離ネットワークのモニタリング方法を提供し、該方法は、
監視管理センタが被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得することと、
前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得することと、
前記監視管理センタが前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達することと、
前記エッジルータがアドレス情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングすることを含む。

好ましくは、前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得する方法は、前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得することを含む。

好ましくは、前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得する方法は、前記監視管理センタが自身に記憶された被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得することを含む。

好ましくは、前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得する方法はさらに、前記監視管理センタが予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶することを含み、

好ましくは、被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号の１つ又はいずれかの組み合せを含む。

以上の技術課題を解決するために、本発明はさらにＩＤ／ロケータ分離ネットワークのモニタリングシステムを提供し、該システムは、被モニタリング者、監視管理センタ、認証センタ、エッジルータを含み、
前記監視管理センタが、被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得し、前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得し、前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達するように設置され、
前記認証センタが、前記監視管理センタにより送信される被モニタリング者のＩＤ情報に基づいて、前記被モニタリング者のＩＤ識別子をフィードバックするように設置され、
前記エッジルータが、アドレス情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングするように設置される。

好ましくは、前記監視管理センタがさらに、前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得するように設置される。

好ましくは、前記監視管理センタがさらに、自身に記憶される被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得するように設置される。

好ましくは、前記監視管理センタがさらに、予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶するように設置される。

好ましくは、被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号又は現実社会の他のＩＤ情報の１つ又はいずれかの組み合せを含む。

本発明はさらにＩＤ／ロケータ分離ネットワークの監視管理センタを提供し、前記監視管理センタは、被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得し、前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得し、前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達するように設置され、
前記認証センタは前記被モニタリング者のＩＤ識別子をフィードバックし、前記エッジルータがアドレス情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングする。

好ましくは、前記監視管理センタは、前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得するように設置される。

好ましくは、前記監視管理センタはさらに、自身に記憶される被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得するように設置される。

好ましくは、前記監視管理センタはさらに、予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶するように設置される。

好ましくは、被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号又は現実社会の他のＩＤ情報の１つ又はいずれかの組み合せを含む。

本発明が発生する有益な効果は、本発明がＩＤ／ロケータ分離ネットワークのモニタリング方法を提出して、ＩＤとロケータ分離ネットワークアーキテクチャの下でのモニタリング機能を実現することである。

ここで説明する図面は、本発明をさらに理解することに用いられ、本出願の一部分を構成し、本発明の模式的な実施例及びその説明は本発明を解釈することに用いられ、本発明を不適切に限定するものではない。図面において、
は本発明の実施例１の応用のＩＤ／ロケータ分離アーキテクチャに基づくネットワークトポロジー模式図である。 は本発明の実施例２の監視管理センタのモニタリング流れ図である。

本発明の目的、技術案及びメリットをより明確にするために、以下、図面を参照しながら本発明をさらに詳しく説明する。ただし、衝突しない場合に、本出願における実施例及び実施例の中の特徴は互いに組み合せることができる。

図１は本発明の実施例１の応用のＩＤ／ロケータ分離アーキテクチャに基づくネットワークトポロジー示意図であり、詳しい説明は以下のとおりであり、
ネットワークをアクセス層とバックボーン層に分け、ネットワークにおける各ユーザに唯一のホストアクセス識別子ＡＩＤを配分し、該ホストアクセス識別子ＡＩＤが移動過程で常時に変わらなく、ネットワークにはホストアクセス識別子ＡＩＤとルーティング識別子ＲＩＤという２種類の識別子類型があり、ホストアクセス識別子ＡＩＤがアクセス層のみで使用し、ルーティング識別子ＲＩＤがバックボーン層のみで使用する。

該フレームの下で、ネットワークがアクセスネットワークとバックボーンネットワークに分けられ、アクセスネットワークがバックボーンネットワークのエッジに位置し、すべての端末のアクセスを担い、バックボーンネットワークが異なるアクセスネットワークによってアクセスする端末のルーティングを担う。アクセスサービスノートＡＳＮはバックボーンネットワークとアクセスネットワークの境界点に位置し、アクセスネットワークにインターフェースし、バックボーンネットワークにインターフェースする。アクセスネットワークとバックボーンネットワークはトポロジー関係で重なり合わない。ユーザ端末の間が通信するのは相手のホストアクセス識別子のみで行えばよい。アクセスサービスノートは端末のためにアクセスサービスを提供し、ユーザ接続を維持し、ユーザデータを転送する。

本アーキテクチャバックボーンネットワークがネットワーキングする時、マッピング転送平面と広義転送平面（a general forwarding plane）という平面に分けられる。

広義転送平面の主な機能はデータメッセージにおけるルーティング識別子ＲＩＤに基づいてルーティングとデータメッセージの転送を行うことであり、マッピング転送平面の主な機能は、移動ノートＩＤ／ロケータのマッピング情報を格納し、移動ノートの登記登録流れを処理し、通信相手のロケータ問い合わせ流れを処理し、アクセス識別子ＡＩＤを目的アドレスとするデータメッセージをルーティング且つ転送する。

本アーキテクチャの主なネットワーク構成要素と機能実体は以下を含む。
ＡＳＮ：Ａｃｃｅｓｓ Ｓｅｒｖｉｃｅ Ｎｏｄｅ、アクセスサービスノート。ＡＳＮは、端末とネットワークの接続関係を維持し、端末のためにＲＩＤを配分し、切り替え流れを処理し、登記登録流れを処理し、会計/認証流れを処理し、交信相手のＡＩＤ−ＲＩＤマッピング関係を維持する/問い合わせる。

ＡＳＮは、端末に送信する又は端末により送信されるデータメッセージをカプセル化、ルーティング且つ転送する。

ＡＳＮは、端末ＭＮにより送信されてきたデータメッセージを受信した時、データメッセージにおける目的アドレス通信相手ＣＮのＡＩＤｃに基づいてローカルキャッシュにおけるＡＩＤ−ＲＩＤマッピングテーブルを問い合わせ、対応のＡＩＤｃ−ＲＩＤｃマッピング条目を探し出し、ＲＩＤｃを目的アドレスとしてメッセージヘッドにカプセル化し、ＭＮソースアドレスＡＩＤｍに対応するＲＩＤｍをソースアドレスとしてメッセージヘッドをカプセル化し、且つ広義転送平面に転送し、対応のＡＩＤｃ−ＲＩＤｃマッピング条目を探し出さなければ、データメッセージに対してトンネルカプセル化を行った後マッピング転送平面に転送し、且つマッピング転送平面にＡＩＤｃ−ＲＩＤｃマッピング関係を問い合わせる流れを送信する。

ＡＳＮは、ネットワークが端末に送信するデータメッセージを受信した時、データメッセージに対してカプセル化解除処理を行い、データメッセージヘッドのＲＩＤカプセル化を取り除き、ＡＩＤを保留してデータメッセージヘッドとして端末に送信する。

ＣＲ：Ｃｏｍｍｏｎ Ｒｏｕｔｅｒ、共通ルータ。ＲＩＤ形式をソースアドレス/目的アドレスとするデータメッセージをルーティングし且つ転送し、該共通ルータの機能作用は従来の技術におけるルータと区別がない。

ＩＬＲ/ＰＴＦ:Ｉｄｅｎｔｉｔｙ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ/Ｐａｃｋｅｔ Ｔｒａｎｓｆｅｒ Ｆｕｎｃｔｉｏｎ、ＩＬＲはＩＤロケータレジスタであり、本アーキテクチャネットワークにおけるユーザのＡＩＤ−ＲＩＤマッピング関係を維持/格納する。登記登録機能を実現し、通信相手のロケータ問い合わせ流れを処理し、ＰＴＦはパケット転送機能である。マッピング転送平面はＡＳＮにより送信されたデータメッセージを受信した後、ＰＴＦにより目的ＡＩＤに基づいてマッピング転送平面内でルーティングし且つ転送する。マッピング転送平面内においてＰＴＦノートが目的ＡＩＤ−ＲＩＤのマッピング関係を探し出した後、データメッセージヘッドで対応のＲＩＤ情報をカプセル化し且つ広義転送平面に転送し、広義転送平面によりルーティングし且つ通信相手に転送する。

認証センタ：認証センタは、本アーキテクチャネットワークの、ユーザ類別、認証情報、ユーザサービス等級などの情報を含むユーザ属性の記録を担い、認証、完全性保護及び暗号化に用いられるユーザ安全情報を生成し、ユーザがアクセスする時にアクセス制御と承認を行い、認証センタは端末とネットワーク間の双方向認証をサポートする。

ＩＤ／ロケータ分離アーキテクチャに基づいて、有効合法の存続期間の端末ユーザのアクセス識別子ＡＩＤは常時に変わらない。ルーティング識別子ＲＩＤはカレントの端末が所在のＡＳＮ位置をマックする。業務需要に基づいて、ＡＳＮは１つの端末のために固定の１つの又は複数のＲＩＤを配分し且つマッピング転送平面に登録登記することができ、ＡＳＮは複数の端末に同じＲＩＤを配分することもできる。端末ユーザがネットワークにアクセスする時、認証センタの認証によってＩＤ識別子の真実性を保証し、ＩＤロケータレジスタにそれぞれのノートのＡＩＤ−ＲＩＤマッピング関係を格納する。アクセスネットワーク部分が異なるノートを区別するのはアクセス識別子ＡＩＤを採用し、広義交換平面はＲＩＤルーティングデータメッセージを採用し、エンドツーエンドの通信過程を確立するのはアクセス識別子ＡＩＤで対応のユーザルーティング識別子ＲＩＤを探す。エンドツーエンド通信過程で、本端のアクセス識別ＡＩＤをソース端アドレスとしてデータメッセージを介して通信相手に携帯する。通信相手はデータメッセージに携帯されたソース端アドレスからソール端ＩＤを取得することができる。

ネットワークはユーザＩＤを認証することによってネットワーク信用でユーザＩＤの真実性と信頼性を保証し、ネットワークに１つの信頼領域を確立する。ネットワークがユーザＩＤを認証する方法は、異なるネットワーク体制に基づいて異なる方法を採用し、ユーザアクセス識別子ＡＩＤを直接に認証してもよいし、ネットワークにおける識別ユーザの他の類型のユーザ識別（例えば、国際移動ユーザ識別ＩＭＳＩ、ネットワークユーザ識別ＮＡＩなど）を認証してもよく、ネットワーク機器は該ユーザ識別とＡＩＤの間の対応関係を格納する。

従来のアクセスネットワークＲＡＮ部分は、二層接続安全性を保証し、端末ユーザがネットワークにアクセスする時にデータメッセージが変えられないのを保証することもできる。例えば、符号分割多元接続（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ ＭｕｌｔＩＰｌｅ Ａｃｃｅｓｓ、ＣＤＭＡ）無線アクセスが符号分割多元接続方式を採用し、非対称デジタル加入者線（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ、ＡＤＳＬ）が専用回線隔離方式を採用し、グローバルシステムモバイル通信（Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ、ＧＳＭ）が周波数分割多元接続方式を採用し、すべての端末ユーザは認証によって認証されたネットワーク有効合法のユーザである。

端末ユーザがネットワークにアクセスする時、端末ユーザとネットワークのアクセス管理機器ＡＳＮとの間のポイントツーポイント接続関係を確立する。ＡＳＮは端末ユーザのＡＩＤを端末とＡＳＮとの間のエンドツーエンドユーザ接続にバインディングし、該ユーザ接続からメッセージを送信したソースアドレスが該ユーザのＡＩＤとマッチングしなければ、ＡＳＮはデータメッセージを捨て、このように、ＩＤ／ロケータ分離アーキテクチャに基づいて、端末ユーザのＡＩＤが偽造と更改されないことを保証することができる。

ＡＳＮ、及びソース端ＡＳＮから目的端ＡＳＮまでの間の通信機器ＩＬＲ/ＰＴＦ、ＣＲ、認証センタなどは、ネットワーク運営と管理方により提供され、ネットワーク信用によりデータメッセージ伝送の安全性を保証し、データメッセージの真実性と信頼性を保証する。

監視管理センタは、被モニタリング者のＩＤ情報を認証センタに送信し、被モニタリング者のＩＤ識別子を問い合わせ且つ取得し、被モニタリング者のＩＤ識別子に基づいて、被モニタリング者のロケータ識別子を取得し、被モニタリング者ロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達する。

監視管理センタが被モニタリング者のロケータ識別子を取得する方法は以下の何種類を有し、
第１種、監視管理センタが被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、被モニタリング者のロケータ識別子を取得する。
第２種、監視管理センタが予めマッピングサーバとインタラクティブし、被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶し、監視管理センタが自身に記憶された前記マッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得する。

図２は本発明の実施例２の監視管理センタのモニタリング流れ図であり、以下のステップを含み、

ステップ２０１、監視管理センタが被モニタリング者のＩＤ情報を認証センタに送信し、被モニタリング者のＩＤ識別子を問い合わせ且つ取得し、
被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号の１つ又はいずれかの組み合せを含む。

ステップ２０２、監視管理センタが被モニタリング者のＩＤ識別子に基づいて、被モニタリング者のロケータ識別子を取得し、
監視管理センタが被モニタリング者のロケータ識別子を取得する方法は、以下の何種類を有し、
第１種、監視管理センタが被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、被モニタリング者のロケータ識別子を取得する。
第２種、監視管理センタが予めマッピングサーバとインタラクティブし、被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶し、監視管理センタが自身に記憶された前記マッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得する。

ステップ２０３、監視管理センタが被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達する。

ステップ２０４、エッジルータアドレスが情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングする。

本発明の実施例が提供するシステム技術案は、被モニタリング者、監視管理センタ、認証センタ、エッジルータを含み、
前記監視管理センタが、被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得することと、前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得することと、前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達することとに用いられ、
前記認証センタが、前記監視管理センタにより送信される被モニタリング者のＩＤ情報に基づいて、前記被モニタリング者のＩＤ識別子をフィードバックすることに用いられ、
前記エッジルータが、アドレス情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングすることに用いられる。

さらに、前記監視管理センタがさらに、前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得することに用いられる。

さらに、前記監視管理センタがさらに、予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶することと、自身に記憶された前記マッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得することとに用いられる。

さらに、被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号又は現実社会の他のＩＤ情報の１つ又はいずれかの組み合せを含む。

本分野の普通技術者は上記方法における全部或いは一部ステップがプログラムによって関係ハードウェアを指令して完成可能なことを理解することができ、前記プログラムがコンピューターの読み取り可能な記憶媒体、例えば、ＲＯＭ、ディスク又は光ディスクなどに記憶することができる。選択可能的に、上記実施例の全部或いは一部ステップは１つ又は複数の集積回路で実現してもよい。相応的に、前記実施例における各モジュール／ユニットはハードウェアの形式で実現してもよく、ソフトウェア機能モジュールの形式で実現してもよい。本発明はいずれかの特定形式のハードウェアとソフトウェアの結合に限定されない。

もちろん、本発明はまた他の複数種の実施例を有してもよく、本発明の精神及びその実質を脱離しない場合に、本分野を熟知する技術者は本発明に基づいて各種の相応の改変と変形を行うことができるが、これらの相応の改変と変形がいずれも本発明に添付される請求項の保護範囲に属すべきである。

本発明はＩＤ／ロケータ分離ネットワークのモニタリング方法を提出し、ＩＤとロケータ分離ネットワークアーキテクチャの下でのモニタリング機能を実現する。

Claims (15)

1. ＩＤ／ロケータ分離ネットワークのモニタリング方法であって、該方法は、
   監視管理センタが被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得することと、
   前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得することと、
   前記監視管理センタが前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達することと、
   前記監視管理センタが、前記エッジルータにミラーリングされた、アドレス情報に被モニタリング者のＩＤ識別子を含むデータパケットを受信することとを含む、ＩＤ／ロケータ分離ネットワークのモニタリング方法
2. 前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得する方法は、前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得することを含む、請求項１に記載の方法。
3. 前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得する方法は、前記監視管理センタが自身に記憶された被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得することを含む、請求項１に記載の方法。
4. 前記監視管理センタが前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得する方法はさらに、前記監視管理センタが予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶することを含む、請求項３に記載の方法。
5. 被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号又は現実社会の他のＩＤ情報の１つ又はいずれかの組み合せを含む、請求項１に記載の方法。
6. ＩＤ／ロケータ分離ネットワークのモニタリングシステムであって、該システムは、被モニタリング者、監視管理センタ、認証センタ、エッジルータを含み、
   前記監視管理センタが、被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得し、前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得し、前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達するように設置され、
   前記認証センタが、前記監視管理センタにより送信される被モニタリング者のＩＤ情報に基づいて、前記被モニタリング者のＩＤ識別子をフィードバックするように設置され、
   前記エッジルータが、アドレス情報における被モニタリング者のＩＤ識別子を含むデータパケットを監視管理センタにミラーリングするように設置される。
7. 前記監視管理センタがさらに、前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得するように設置される、請求項６に記載のシステム。
8. 前記監視管理センタがさらに、自身に記憶される被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得するように設置される、請求項６に記載のシステム。
9. 前記監視管理センタがさらに、予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶するように設置される、請求項８に記載のシステム。
10. 被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号又は現実社会の他のＩＤ情報の１つ又はいずれかの組み合せを含む、請求項６に記載のシステム。
11. ＩＤ／ロケータ分離ネットワークの監視管理センタであって、前記監視管理センタは、被モニタリング者のＩＤ情報を認証センタに送信し、前記被モニタリング者のＩＤ識別子を問い合わせ且つ取得し、前記被モニタリング者のＩＤ識別子に基づいて、前記被モニタリング者のロケータ識別子を取得し、前記被モニタリング者のロケータ識別子に対応するエッジルータに被モニタリング者のＩＤ識別子をモニタリングする命令を下達するように設置され、
    前記認証センタは前記被モニタリング者のＩＤ識別子をフィードバックし、前記監視管理センタは前記エッジルータにミラーリングされた、アドレス情報に被モニタリング者のＩＤ識別子を含むデータパケットを受信する、ＩＤ／ロケータ分離ネットワークの監視管理センタ。
12. 前記監視管理センタがさらに、前記被モニタリング者のＩＤ識別子に基づいて、マッピングサーバにおける前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を問い合わせ、前記被モニタリング者のロケータ識別子を取得するように設置される、請求項１１に記載の監視管理センタ。
13. 前記監視管理センタがさらに、自身に記憶される被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係に基づいて、前記被モニタリング者のロケータ識別子を取得するように設置される、請求項１１に記載の監視管理センタ。
14. 前記監視管理センタがさらに、予め前記マッピングサーバとインタラクティブし、前記被モニタリング者のＩＤ識別子とロケータ識別子とのマッピング関係を取得し且つ記憶するように設置される、請求項１３に記載の監視管理センタ。
15. 被モニタリング者のＩＤ情報は、被モニタリング者のアカウント、電話番号、身分証明書番号又は現実社会の他のＩＤ情報の１つ又はいずれかの組み合せを含む、請求項１３に記載の監視管理センタ。

Images